Gitlab是一种基于Git的完全集成的软件开发平台，并具有wiki和在线编辑，issue跟踪功能，CI / CD等功能。

2021年3月18日Gitlab官方发布安全更新，修复了一处远程代码执行攻击，攻击者可构造恶意请求，在Gitlab服务器上执行任意代码，控制服务器。

FOFA查询

app="Gitlab"

影响范围

• Gitlab CE / EE <13.9.4
• Gitlab CE / EE <13.8.6
• Gitlab CE / EE <13.7.9

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="Gitlab"）共有 196,681 个相关服务对外开放。中国使用数量最多，共有 64,796 个；美国第二，共有 30,748 个；德国第三，共有 27,464 个；法国第四，共有 12,551 个；俄罗斯第五，共有 7,976 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区广东使用数量最多，共有 4,656 个；北京第二，共有 4,281 个；浙江第三，共有 4,189 个，上海第四，共有 2,189 个；江苏第五，共有 1,709 个。

修复建议

1. 升级Gitlab至安全版本。

   下载链接：https://about.gitlab.com/install/

2. 将Gitlab服务器部署到内网，或通过设置安全组仅对可信地址开放。

参考

[1].https://about.gitlab.com/releases/2021/03/16/security-release-gitlab-13-9-4-released/#remote-code-execution-via-unsafe-user-control-markdown-rendering -选项

[2].https://mp.weixin.qq.com/s/d8jeaI3rf94MLc2TYbKgnQ

白帽汇从事信息安全，专注于安全大数据、企业威胁情报。

公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。