【安全通报】Gitlab 远程命令执行漏洞在野利用（CVE-2021-22205）

近日，网络上出现 Gitlab exiftool 远程命令执行漏洞 在野利用事件。该漏洞最早于2021年 4月7日在 gitlab 的issue提出。攻击者可利用该漏洞在服务端上传恶意图片，进行远程命令执行。

漏洞描述

GitLab是美国GitLab公司的一款使用Ruby on Rails开发的、自托管的、Git（版本控制系统）项目仓库应用程序。

CVE-2021-22205

由于 GitLab 没有正确验证传递给文件解析器的图像文件，攻击者可利用该漏洞在服务端进行远程命令执行。

该漏洞CVSS评分：9.9，危害等级：严重

CVE 编号

CVE-2021-22205

FOFA 查询

app="GitLab"

影响范围

11.9 <=  GitLab（CE/EE）< 13.8.8 
13.9 <=  GitLab（CE/EE）< 13.9.6 
13.10 <= GitLab（CE/EE）< 13.10.3

根据目前FOFA系统最新数据（一年内数据），显示全球范围内（app="GitLab"）共有 227,005 个相关服务对外开放。中国使用数量最多，共有 70,455 个；美国第二，共有 32,388 个；德国第三，共有 29,395 个；法国第四，共有 13,283 个；俄罗斯第五，共有 8,988 个。

全球范围内分布情况如下（仅为分布情况，非漏洞影响情况）

中国大陆地区广东使用数量最多，共有 7,484 个；北京第二，共有 6,963 个；浙江第三，共有 4,731 个；上海第四，共有 3,859 个；江苏第五，共有 2,585 个。

漏洞复现

Vulfocus 靶场环境

目前 Vulfocus 已经集成 gitlab 环境，可通过

docker pull vulfocus/gitlab-cve_2021_22205:latest

进行拉取运行，也可通过 http://vulfocus.fofa.so/ 进行测试。

修复建议

尽快升级至最新安全版本：https://about.gitlab.com/releases/

参考

[1] https://gitlab.com/gitlab-org/gitlab/-/issues/327121

[2] https://about.gitlab.com/releases/2021/04/14/security-release-gitlab-13-10-3-released/

[2] https://mp.weixin.qq.com/s/cy8OOzHD28Of3zC32S_4ow

白帽汇从事信息安全，专注于安全大数据、企业威胁情报。

公司产品：FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供：网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。