别急着修！GitLab满分漏洞（CVE-2023-2825）实际几乎无法利用

01 漏洞概况 

GitLab是美国GitLab公司的一个开源的端到端软件开发平台，具有内置的版本控制、问题跟踪、代码审查、CI/CD（持续集成和持续交付）等功能。

近日，微步在线漏洞团队监测到GitLab发布了安全更新，更新了一处任意文件读取漏洞（CVE-2023-2825），GitLab官方给出的CVSS 3.1评分为10.0。

经过微步在线漏洞团队复现、分析及研判，该漏洞利用成功（实现非认证的任意文件读取）的条件较为苛刻。具体利用条件可见下方分析。

从攻击者视角出发，该漏洞的利用前置条件在绝大多数场景下都不满足。除非是GitLab管理员账户存在弱口令/密码泄露等权限问题时，攻击者自行创建一个符合条件项目组和该项目组下的公开项目，再利用这个漏洞读取GitLab服务器上的敏感文件。

综合判断，该漏洞实际互联网受影响面极小，可酌情修复。

02 漏洞处置优先级（VPT）

综合处置优先级：低

漏洞编号	微步编号	XVE-2023-16170
漏洞评估	危害评级	中危
	漏洞类型	任意文件读取
	公开程度	PoC已公开
	利用条件	1. 存在一个公开的至少5级目录的项目组（复现过程中发现直到9级才利用成功） 2. 该项目组下的存在公开项目 3. 该公开项目有附件 4. GitLab版本为16.0.0
	交互要求	0-click
	威胁类型	远程
利用情报	在野利用	无
	漏洞活跃度	高
影响产品	产品名称	GitLab-GitLab CE/EE
	受影响版本	Version==16.0.0
	影响范围	极少
	有无修复补丁	有

03 漏洞复现 

04 修复方案 

1、官方修复方案
由于该漏洞修复优先级较低，受影响的用户可酌情升级至最新版本
https://about.gitlab.com/releases/2023/05/23/critical-security-release-gitlab-16-0-1-released/

2、临时修复方案
• 优先排查GitLab管理员权限是否存在弱口令，如果有尽快修改
• 检查是否存在层级过多的项目组，以及该组下的项目是否存在公开项目。如果有，在不影响业务的前提下，可以酌情减少层级或者将项目变更为私有项目
• 非必要不建议将该系统暴露在公网

05 微步在线产品侧支持情况 

微步在线威胁感知平台TDP默认支持该类型的漏洞检测。

06 时间线 

2023.5.25 获取该漏洞相关情报
2022.5.25 漏洞分析与研究
2022.5.25 微步在线威胁感知平台TDP默认支持检测
2023.5.26 微步发布报告

---End---

CSOP 2023

网络安全领域最具专业性的年度盛会之一 CSOP 2023 网络安全运营与实战大会将于6月8日在深圳继续，安全负责人和CISO不能错过~

长按识别下方二维码即可报名：

微步在线漏洞情报订阅服务

微步在线漏洞情报订阅服务是由微步在线漏洞团队面向企业推出的一项高级分析服务，致力于通过微步在线自有产品强大的高价值漏洞发现和收集能力以及微步在线核心的威胁情报能力，为企业提供0day漏洞预警、最新公开漏洞预警、漏洞分析及评估等漏洞相关情报，帮助企业应对最新0day/1day等漏洞威胁并确定漏洞修复优先级，快速收敛企业的攻击面，保障企业自身业务的正常运转。

点击“阅读原文”，报名 CSOP 2023 大会

原文始发于微信公众号（微步在线研究响应中心）：别急着修！GitLab满分漏洞（CVE-2023-2825）实际几乎无法利用