【已复现】GitLab 远程代码执行漏洞安全风险通告第二次更新

admin
admin
admin
139089
文章
114
评论
2023年1月9日21:15:53评论227 views字数 2150阅读7分10秒阅读模式
【已复现】GitLab 远程代码执行漏洞安全风险通告第二次更新

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。




安全通告



Gitlab是目前被广泛使用的基于git的开源代码管理平台, 基于Ruby on Rails构建, 主要针对软件开发过程中产生的代码和文档进行管理，同时可以搭建Web服务。


近日，奇安信CERT监测到GitLab官方发布GitLab远程代码执行漏洞(CVE-2022-2992)通告，该漏洞存在是由于未对GitHub中导入的API端点请求数据进行校验。经过身份认证的远程攻击者可通过发送特制的请求包最终在目标机器上执行任意代码。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。


本次更新内容：
新增GitLab远程代码执行漏洞(CVE-2022-2992)复现截图；
更新技术类型及参考链接，新增CNNVD编号；
新增奇安信产品解决方案。

漏洞名称

GitLab 远程代码执行漏洞

公开时间

2022-08-30

更新时间

2023-01-09

CVE编号

CVE-2022-2992

其他编号

QVD-2022-13943

CNNVD-202208-4486

威胁类型

代码执行

技术类型

命令注入

厂商

GitLab

产品

GitLab CE、GitLab EE

风险等级

奇安信CERT风险评级

风险等级

高危

蓝色（一般事件）

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

已公开

未发现

未发现

已公开

漏洞描述

GitLab社区版（CE）和企业版（EE）存在远程代码执行漏洞。经过身份验证的攻击者可以通过 GitHub API 端点导入功能执行任意代码，最终控制服务器。

影响版本

11.10 <= GitLab CE/EE < 15.1.6
GitLab CE/EE 15.2.x < 15.2.4
GitLab CE/EE 15.3.x < 15.3.2

不受影响版本

GitLab CE/EE >= 15.1.6

GitLab CE/EE >= 15.2.4

GitLab CE/EE >= 15.3.2

其他受影响组件

无
奇安信CERT已成功复现GitLab远程代码执行漏洞(CVE-2022-2992)，复现截图如下:

【已复现】GitLab 远程代码执行漏洞安全风险通告第二次更新



威胁评估

漏洞名称

GitLab 远程代码执行漏洞

CVE编号

CVE-2022-2992

其他编号

QVD-2022-13943

CNNVD-202208-4486

CVSS 3.1评级

高危

CVSS 3.1分数

9.9

CVSS向量

访问途径（AV）

攻击复杂度（AC）

网络

低

所需权限（PR）

用户交互（UI）

低权限

不需要

影响范围（S）

机密性影响（C）

改变

高

完整性影响（I）

可用性影响（A）

高

高

危害描述

经过身份认证的远程攻击者可通过GitHub API 端点导入功能实现远程代码执行。


处置建议

1.目前官方已发布安全版本修复该漏洞，建议受影响用户：

GitLab CE/EE 15.1.x及更低版本升级至15.1.6或更高版本；
GitLab CE/EE 15.2.x升级至15.2.4或更高版本；
GitLab CE/EE 15.3.x升级至15.3.2或更高版本。

下载地址：

https://about.gitlab.com/update/


2.若无法立即升级，可以通过禁用 GitHub 导入来缓解此漏洞：

使用管理员帐户登录到GitLab 执行以下操作：

(1）点击“菜单”->“管理”
(2）点击“设置”->“常规”
(3） 展开“可见性和访问控制”选项卡
(4） 在“导入源”下禁用“GitHub”选项
(5）点击“保存更改”



产品解决方案

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则，支持对GitLab 远程代码执行漏洞(CVE-2022-2992)的防护。


奇安信开源卫士已支持

奇安信开源卫士20230109.140版本已支持对Gitlab 远程命令执行漏洞（CVE-2022-2992）的检测。


奇安信自动化渗透测试系统产品解决方案

奇安信自动化渗透测试系统在第一时间加入了该漏洞的插件规则和指纹规则，请将插件版本和指纹版本升级到20230109182100版本。规则名称：Gitlab CVE-2022-2992 远程命令执行漏洞，插件版本：20230109182100，指纹版本：20230109182100。奇安信自动化渗透测试系统升级方法：系统管理->升级管理->插件升级（指纹升级），选择“网络升级”或“本地升级”。


奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：7696 ，建议用户尽快升级检测规则库至2301091300以上。


参考资料

[1]https://about.gitlab.com/releases/2022/08/30/critical-security-release-gitlab-15-3-2-released/

[2]https://gitlab.com/gitlab-org/gitlab/-/issues/371884



时间线

2022年8月31日，奇安信 CERT发布安全风险通告；

2023年1月9日，奇安信 CERT发布安全风险通告第二次更新。


点击阅读原文

到奇安信NOX-安全监测平台查询更多漏洞详情

原文始发于微信公众号（奇安信 CERT）：【已复现】GitLab 远程代码执行漏洞安全风险通告第二次更新

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月9日21:15:53
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   【已复现】GitLab 远程代码执行漏洞安全风险通告第二次更新https://cn-sec.com/archives/1508316.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息