【安全通报】Gitlab 远程命令执行漏洞在野利用(CVE-2021-22205)

fmbd  32天前

图片.png

近日,网络上出现 Gitlab exiftool 远程命令执行漏洞 在野利用事件。该漏洞最早于2021年 4月7日在 gitlab 的issue提出。攻击者可利用该漏洞在服务端上传恶意图片,进行远程命令执行。

漏洞描述

GitLab是美国GitLab公司的一款使用Ruby on Rails开发的、自托管的、Git(版本控制系统)项目仓库应用程序。

CVE-2021-22205

由于 GitLab 没有正确验证传递给文件解析器的图像文件,攻击者可利用该漏洞在服务端进行远程命令执行。

该漏洞CVSS评分:9.9,危害等级:严重

CVE 编号

CVE-2021-22205

FOFA 查询

app="GitLab"

影响范围

11.9 <=  GitLab(CE/EE)< 13.8.8 
13.9 <= GitLab(CE/EE)< 13.9.6
13.10 <= GitLab(CE/EE)< 13.10.3

根据目前FOFA系统最新数据(一年内数据),显示全球范围内(app="GitLab")共有 227,005 个相关服务对外开放。中国使用数量最多,共有 70,455 个;美国第二,共有 32,388 个;德国第三,共有 29,395 个;法国第四,共有 13,283 个;俄罗斯第五,共有 8,988 个。

全球范围内分布情况如下(仅为分布情况,非漏洞影响情况)

20211028144538.png

中国大陆地区广东使用数量最多,共有 7,484 个;北京第二,共有 6,963 个;浙江第三,共有 4,731 个;上海第四,共有 3,859 个;江苏第五,共有 2,585 个。

20211028144610.png

漏洞复现

d254adfaed74d566f37a7ec0ca70025.png

Vulfocus 靶场环境

目前 Vulfocus 已经集成 gitlab 环境,可通过

docker pull vulfocus/gitlab-cve_2021_22205:latest

进行拉取运行,也可通过 http://vulfocus.fofa.so/ 进行测试。

image.png

修复建议

尽快升级至最新安全版本:https://about.gitlab.com/releases/

参考

[1] https://gitlab.com/gitlab-org/gitlab/-/issues/327121

[2] https://about.gitlab.com/releases/2021/04/14/security-release-gitlab-13-10-3-released/

[2] https://mp.weixin.qq.com/s/cy8OOzHD28Of3zC32S_4ow


白帽汇从事信息安全,专注于安全大数据、企业威胁情报。

公司产品:FOFA-网络空间安全搜索引擎、FOEYE-网络空间检索系统、NOSEC-安全讯息平台。

为您提供:网络空间测绘、企业资产收集、企业威胁情报、应急响应服务。

最新评论

admin  :  你确定搭建的docker版本是有漏洞的版本?
32天前 回复
admin  :  哦是**错了,不好意思我是FW
32天前 回复
小怪物  :  为什么80和443打不开
19天前 回复
小怪物  :  哦是**错了,不好意思我是FW
19天前 回复
wnvCpgrV  :  回复 @ 小怪物 &nbsp;:&nbsp; &nbsp;
13天前 回复
wnvCpgrV  :  回复 @ wnvCpgrV &nbsp;:&nbsp; &nbsp;
9天前 回复
昵称
邮箱
提交评论