侧边栏壁纸
博主头像
道一博主等级

云在青天水在瓶!

  • 累计撰写 15 篇文章
  • 累计创建 14 个标签
  • 累计收到 0 条评论

补丁已发布近半年,50%联网的GitLab仍受到RCE缺陷漏洞影响

道一
2021-11-09 / 0 评论 / 10 点赞 / 223 阅读 / 1,211 字
温馨提示:
本文最后更新于 2021-11-09,若内容或图片失效,请留言反馈。部分素材来自网络,若不小心影响到您的利益,请联系我们删除。

网络安全研究人员警告称,GitLab的Web界面中存在一个现已修复的关键远程代码执行 (RCE) 漏洞,编号为CVE-2021-22205,该漏洞已被广泛利用,导致大量面向互联网的GitLab实例容易受到攻击。
该漏洞是用户提供的图像验证不当的问题,可能导致任意代码执行。该漏洞影响11.9以后的所有版本。
GitLab发布的建议中写道:“在GitLab CE/EE中发现了一个问题,影响从11.9开始的所有版本。GitLab没有正确地验证传递给文件解析器的图像文件,导致远程命令执行。并被分配为CVE-2021-22205。这是一个严重的问题(9.9)。在最新版本中得到修复。”
GitLab于2021年4月14日发布了13.8.8、13.9.6和13.10.3版本,解决了该安全漏洞。
该漏洞在野外被积极利用,HN Security的研究人员描述了其客户之一的攻击。
威胁参与者在属于该组织的可公开访问的GitLab服务器上创建了两个具有管理员权限的用户帐户。攻击者利用该漏洞上传恶意负载,导致远程执行任意命令。

尽管该漏洞最初被认为是经过身份验证的RCE 案例并分配了9.9的CVSS评分,但由于未经身份验证的威胁行为者也可能触发该漏洞,因此严重性评级在2021年9月21日修订为10.0。
该漏洞存在于ExifTool中,ExifTool是一个用于从图像中删除元数据的开源工具,它无法解析嵌入在上传图像中的某些元数据,导致如下所述的代码执行。HN Security发布的分析写道。

尽管补丁已经公开发布了6个多月,但在60,000个面向互联网的GitLab安装中:

21%的安装已经针对这个问题打了完整的补丁。
50%的安装没有针对这个问题打补丁。
29%的安装可能存在或不存在漏洞。

建议GitLab用户立即更新安装。
此外,理想情况下,GitLab不应该是面向Internet的服务。如果需要从Internet访问GitLab,建议将其置于VPN之后。
GitLab作为一个开源分布式版本控制系统,可以用来管理项目源代码、版本控制、代码复用与查找。从项目计划和源代码管理到CI/CD和监控,GitLab可以在整个DevOps生命周期中发挥作用。随着DevsecOps概念的提出和发展,安全问题已贯穿整个开发周期当中。GitLab中的安全漏洞问题不但影响产品本身的安全性,而且在开发中很可能为应用程序带来安全问题。
网络安全事件层出不穷,美国国家标准与技术局(NIST)、国家漏洞数据库(NVD)数据显示:90%以上的网络安全问题是由软件自身的安全漏洞被利用导致的!针对软件中的安全漏洞,在开发期间通过安全可信的静态代码检测工具,可以及时发现代码缺陷及潜在的安全漏洞,利于开发人员第一时间修正安全问题,提高软件自身安全性。
参读链接:
securityaffairs.co/wordpress/1…
thehackernews.com/2021/11/ale…

0

评论区