【漏洞预警】GitLab 存在代码执行漏洞

漏洞详情

近日，飓风安全应急团队监测到Gitlab发布安全公告，修复了一个存在于GitLab中的代码执行漏洞，经过身份认证的远程攻击者利用此漏洞可以通过GraphQL端点将恶意Runner 附加到实例上的任何项目上，进一步利用可能造成代码执行或敏感信息泄露。

Gitlab是目前被广泛使用的基于git的开源代码管理平台, 基于Ruby on Rails构建, 主要针对软件开发过程中产生的代码和文档进行管理，同时可以搭建Web服务。

【受影响版本】

• 15.4 <= GitLab CE/EE < 15.9.7

• 15.10 <= GitLab CE/EE 15.10.X < 15.10.6

• 15.11 <= GitLab CE/EE 15.11.X < 15.11.2

【安全版本】

• GitLab CE/EE >= 15.9.7

• GitLab CE/EE 15.10.X >= 15.10.6

• GitLab CE/EE 15.11.X >= 15.11.2

修复方案

临时修复建议：

• 如果目前无法升级，若业务环境允许，使用IP白名单限制web端口的访问来降低风险。

通用修复建议：

官方已经针对漏洞发布了版本更新，下载地址如下：

• https://about.gitlab.com/update/

原文始发于微信公众号（飓风网络安全）：【漏洞预警】GitLab 存在代码执行漏洞