漏洞公告
近日，安恒信息CERT监测到Gitlab 2024年1月11日发布安全版本公告，经安恒研究院研究，有2个高危及以上漏洞。GitLab 存在任意密码重置漏洞，攻击者通过此漏洞可以在未经验证的电子邮件地址获取密码重置邮件。GitLab 存在身份伪造漏洞，攻击者可以通过此漏洞伪造其他用户身份执行命令。以上两个漏洞潜在影响较大，需要客户着重关注。
该产品应用行业分布广泛，漏洞危害性高，建议客户尽快做好自查及防护。
01
漏洞详情
|
CVE编号 |
漏洞名称 |
危害等级 |
应急响应等级 |
|
|
GitLab 存在任意密码重置漏洞 |
超危 |
1级 |
|
CVE-2023-5356 |
GitLab 存在身份伪造漏洞 |
超危 |
1级 |
02
重点关注漏洞
|
1、GitLab 存在任意密码重置漏洞 |
|||
|
漏洞类型 |
密码重置 |
漏洞标签 |
Web应用 |
|
POC情况 |
未发现 |
EXP情况 |
未发现 |
|
在野利用情况 |
未发现 |
研究情况 |
分析中 |
|
CVSS3.1 评分 |
10.0（安恒自评） |
安恒CERT编号 |
DM-202312-003214 |
|
影响版本 |
|||
|
16.1 <= Gitlab CE/EE < 16.1.6 |
|||
|
CVSS向量 |
|||
|
访问途径（AV） |
网络 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
无需任何权限 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
改变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
无 |
|
2、GitLab 存在身份伪造漏洞 |
|||
|
漏洞类型 |
身份伪造 |
漏洞标签 |
Web应用 |
|
POC情况 |
未发现 |
EXP情况 |
未发现 |
|
在野利用情况 |
未发现 |
研究情况 |
分析中 |
|
CVSS3.1 评分 |
9.6（安恒自评） |
安恒CERT编号 |
DM-202310-000405 |
|
影响版本 |
|||
|
8.13至16.5.6、16.6至16.6.4、16.7至16.7.2的所有版本 |
|||
|
CVSS向量 |
|||
|
访问途径（AV） |
网络 |
攻击复杂度（AC） |
低 |
|
所需权限（PR） |
低 |
用户交互（UI） |
不需要用户交互 |
|
影响范围 (S) |
改变 |
机密性影响 (C) |
高 |
|
完整性影响 (I) |
高 |
可用性影响 (A) |
无 |
03
修复方案
官方修复方案：
官方已经发布修复方案，受影响的用户建议及时更新至安全版本。
临时缓解方案：
对GitLab 所有账户启用双因素身份验证 （2FA）。
参考链接：
https://docs.gitlab.com/ee/user/profile/account/two_factor_authentication.html
04
网络空间资产测绘
根据安恒Sumap全球网络空间资产测绘近三个月数据显示，受影响资产主要分布在中国、美国、德国，其中国内资产为92807个。建议客户尽快做好资产排查。
国内受影响资产分布情况
05
参考资料
06
技术支持
如有漏洞相关需求支持请联系400-6777-677获取相关能力支撑
原文始发于微信公众号（安恒信息CERT）：【风险通告】GitLab存在多个高危漏洞风险提示
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论