【安全通报】Gitlab markdown远程代码执行漏洞

花屋敷  312天前

image-20210318122114540.png


Gitlab是一种基于Git的完全集成的软件开发平台,并具有wiki和在线编辑,issue跟踪功能,CI / CD等功能。

2021年3月18日Gitlab官方发布安全更新,修复了一处远程代码执行攻击,攻击者可构造恶意请求,在Gitlab服务器上执行任意代码,控制服务器。

FOFA查询

app="Gitlab"

影响范围

  • Gitlab CE / EE <13.9.4
  • Gitlab CE / EE <13.8.6
  • Gitlab CE / EE <13.7.9

根据目前FOFA系统最新数据(一年内数据),显示全球范围内(app="Gitlab")共有 196,681 个相关服务对外开放。中国使用数量最多,共有 64,796 个;美国第二,共有 30,748 个;德国第三,共有 27,464 个;法国第四,共有 12,551 个;俄罗斯第五,共有 7,976 个。

全球范围内分布情况如下(仅为分布情况,非漏洞影响情况)

image-20210318122410561.png

中国大陆地区广东使用数量最多,共有 4,656 个;北京第二,共有 4,281 个;浙江第三,共有 4,189 个,上海第四,共有 2,189 个;江苏第五,共有 1,709 个。

image-20210318122441623.png

修复建议

  1. 升级Gitlab至安全版本。

    下载链接:https://about.gitlab.com/install/

  2. 将Gitlab服务器部署到内网,或通过设置安全组仅对可信地址开放。

参考

[1].https://about.gitlab.com/releases/2021/03/16/security-release-gitlab-13-9-4-released/#remote-code-execution-via-unsafe-user-control-markdown-rendering -选项

[2].https://mp.weixin.qq.com/s/d8jeaI3rf94MLc2TYbKgnQ


白帽汇从事信息安全,专注于安全大数据、企业威胁情报。

公司产品:FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供:网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。

最新评论

昵称
邮箱
提交评论