漏洞描述
2023年5月10日公司監(jiān)測到GitLab官方發(fā)布安全補(bǔ)丁，修復(fù)了一個代碼執(zhí)行漏洞。GitLab是一個基于Git的Web平臺，用于代碼托管、版本控制和協(xié)作開發(fā)。它提供了一個完整的工具集，包括代碼倉庫管理、問題跟蹤、持續(xù)集成、代碼審查、Wiki、CI/CD等功能，用來幫助團(tuán)隊(duì)更好地協(xié)作開發(fā)和管理代碼。該漏洞是由于GitLab針對端點(diǎn)的權(quán)限認(rèn)證存在錯誤，攻擊者可利用該漏洞在獲得權(quán)限的情況下，構(gòu)造惡意Runner并將之加載到實(shí)例項(xiàng)目，執(zhí)行代碼執(zhí)行攻擊，最終獲取服務(wù)器最高權(quán)限或造成服務(wù)器敏感性信息泄露。
漏洞編號
CNVD-2023-2478
漏洞危害
該漏洞是由于GitLab針對端點(diǎn)的權(quán)限認(rèn)證存在錯誤，攻擊者可利用該漏洞在獲得權(quán)限的情況下，構(gòu)造惡意Runner并將之加載到實(shí)例項(xiàng)目，執(zhí)行代碼執(zhí)行攻擊，最終獲取服務(wù)器最高權(quán)限或造成服務(wù)器敏感性信息泄露。
漏洞等級
高危
受影響版本
15.4.0 ≤ GitLab CE/EE < 15.9.7,
15.10.0 ≤ GitLab CE/EE < 15.10.6,
15.11.0 ≤ GitLab CE/EE < 15.11.2
修復(fù)方案
目前官方已發(fā)布安全補(bǔ)丁修復(fù)了該漏洞，請受影響的用戶盡快升級版本進(jìn)行防護(hù)，官方下載鏈接如下：
https://about.gitlab.com/update/
參考鏈接
https://about.gitlab.com/update/