Gitlab是一种基于Git的完全集成的软件开发平台，并具有wiki和在线编辑，issue跟踪功能，CI / CD等功能。

2021年3月31日，Gitlab官方发布安全更新，修复了多处高危漏洞，其中包括 Project Import 任意文件读取漏洞和Wiki page 任意文件读取漏洞等。漏洞利用均需一定用户权限。Gitlab用户尽快采取安全措施阻止漏洞攻击。

FOFA查询

app="Gitlab"

影响范围

• Gitlab CE/EE < 13.8.7
• Gitlab CE/EE < 13.9.5
• Gitlab CE/EE < 13.10.1

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="Gitlab"）共有 196,681 个相关服务对外开放。中国使用数量最多，共有 64,796 个；美国第二，共有 30,748 个；德国第三，共有 27,464 个；法国第四，共有 12,551 个；俄罗斯第五，共有 7,976 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区广东使用数量最多，共有 4,656 个；北京第二，共有 4,281 个；浙江第三，共有 4,189 个，上海第四，共有 2,189 个；江苏第五，共有 1,709 个。

修复建议

1. 升级Gitlab至安全版本。

   下载链接：https://about.gitlab.com/install/

2. 将Gitlab服务器部署到内网，或通过设置安全组仅对可信地址开放。

3. 若无需要，关闭Gitlab的对外注册功能。

参考

[1] https://about.gitlab.com/releases/2021/03/31/security-release-gitlab-13-10-1-released/

[2] https://mp.weixin.qq.com/s/LKbFwjp58n9_IOcEq6mqFA

白帽汇从事信息安全，专注于安全大数据、企业威胁情报。

公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。