【漏洞通告】GitLab路径遍历漏洞(CVE-2023-2825)

admin 2023年5月25日02:43:25评论136 views字数 846阅读2分49秒阅读模式

一、漏洞概述

CVE   ID

CVE-2023-2825

发现时间

2023-05-24

类    型

路径遍历

等    级

严重

攻击向量

网络

所需权限

攻击复杂度

用户交互

PoC/EXP

未公开

在野利用


GitLab是一个用于仓库管理系统的开源项目,其使用Git作为代码管理工具,可通过Web界面访问公开或私人项目。
5月24日,启明星辰VSRC监测到GitLab官方发布更新公告,修复了GitLab 社区版 (CE)和企业版(EE)中的一个路径遍历漏洞(CVE-2023-2825),其CVSSv3评分为10.0。
该漏洞存在于GitLab CE/EE版本16.0.0中,当嵌套在至少五个组中的公共项目中存在附件时,可在未经身份验证的情况下通过uploads功能遍历读取任意文件,导致敏感信息泄露。


二、影响范围

GitLab CE/EE版本:16.0.0


三、安全措施

3.1 升级版本

目前该漏洞已经修复,受影响用户可升级到以下版本:
GitLab CE/EE版本:>= 16.0.1
下载链接:
https://about.gitlab.com/update/

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁,减少系统漏洞,提升服务器的安全性。
加强系统和网络的访问控制,修改防火墙策略,关闭非必要的应用端口或服务,减少将危险服务(如SSH、RDP等)暴露到公网,减少攻击面。
使用企业级安全产品,提升企业的网络安全性能。
加强系统用户和权限管理,启用多因素认证机制和最小权限原则,用户和软件权限应保持在最低限度。
启用强密码策略并设置为定期修改。

3.4 参考链接

https://about.gitlab.com/releases/2023/05/23/critical-security-release-gitlab-16-0-1-released/
https://nvd.nist.gov/vuln/detail/CVE-2023-2825

原文始发于微信公众号(维他命安全):【漏洞通告】GitLab路径遍历漏洞(CVE-2023-2825)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年5月25日02:43:25
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞通告】GitLab路径遍历漏洞(CVE-2023-2825)https://cn-sec.com/archives/1756616.html

发表评论

匿名网友 填写信息