【安全通报】Gitlab 多处高危漏洞

花屋敷  201天前

image-20210318122114540.png

Gitlab是一种基于Git的完全集成的软件开发平台,并具有wiki和在线编辑,issue跟踪功能,CI / CD等功能。

2021年3月31日,Gitlab官方发布安全更新,修复了多处高危漏洞,其中包括 Project Import 任意文件读取漏洞和Wiki page 任意文件读取漏洞等。漏洞利用均需一定用户权限。Gitlab用户尽快采取安全措施阻止漏洞攻击。

FOFA查询

app="Gitlab"

影响范围

  • Gitlab CE/EE < 13.8.7
  • Gitlab CE/EE < 13.9.5
  • Gitlab CE/EE < 13.10.1

根据目前FOFA系统最新数据(一年内数据),显示全球范围内(app="Gitlab")共有 196,681 个相关服务对外开放。中国使用数量最多,共有 64,796 个;美国第二,共有 30,748 个;德国第三,共有 27,464 个;法国第四,共有 12,551 个;俄罗斯第五,共有 7,976 个。

全球范围内分布情况如下(仅为分布情况,非漏洞影响情况)

image-20210318122410561.png

中国大陆地区广东使用数量最多,共有 4,656 个;北京第二,共有 4,281 个;浙江第三,共有 4,189 个,上海第四,共有 2,189 个;江苏第五,共有 1,709 个。

image-20210318122441623.png

修复建议

  1. 升级Gitlab至安全版本。

    下载链接:https://about.gitlab.com/install/

  2. 将Gitlab服务器部署到内网,或通过设置安全组仅对可信地址开放。

  3. 若无需要,关闭Gitlab的对外注册功能。

参考

[1] https://about.gitlab.com/releases/2021/03/31/security-release-gitlab-13-10-1-released/

[2] https://mp.weixin.qq.com/s/LKbFwjp58n9_IOcEq6mqFA

白帽汇从事信息安全,专注于安全大数据、企业威胁情报。

公司产品:FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供:网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。

最新评论

昵称
邮箱
提交评论