站长之家- 业界 2021-03-19T09:30:17 +08:00

GitLab 远程代码执行漏洞通告

本文来自安全客平台(www.anquanke.com),作者:安全客,站长之家经授权转载。

0x01漏洞简述

2021年03月18日,360CERT监测发现GitLab官方发布了GitLab 代码执行的风险通告,漏洞等级:严重,漏洞评分:9.9。

未经授权但经过身份验证的用户,能够利用该漏洞在服务器上执行任意代码。

对此,360CERT建议广大用户及时将GitLab升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

0x02风险等级

360CERT对该漏洞的评定结果如下

评定方式等级
威胁等级严重
影响面广泛
360CERT评分9.9

0x03漏洞详情

代码执行漏洞

GitLab社区版(CE)和企业版(EE)中存在严重漏洞,未经授权但经过身份验证的用户可以通过不安全的,用户可控的markdown渲染代码,从而造成代码执行。

0x04影响版本

– GitLab:GitLab: 通用修补建议

升级到最新版本:

官方下载页面。

0x06相关空间测绘数据

360安全大脑-Quake网络空间测绘系统通过对全网资产测绘,发现GitLab具体分布如下图所示。

0x07产品侧解决方案

360城市级网络安全监测服务

360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn),通过资产测绘技术的方式,对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。

0x08时间线

2021-03-16 Gitlab官方发布通告

2021-03-18 360CERT发布通告

0x09参考链接

1、 Gitlab官方通告

0x0a特制报告下载链接

一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT正式推出安全通告特制版报告,以便用户做资料留存、传阅研究与查询验证。 用户可直接通过以下链接进行特制报告的下载。

GitLab 远程代码执行漏洞通告

推荐关键词

24小时热搜

查看更多内容

大家正在看

iTunes升级至 12.4.1:多个系统漏洞修复

微软紧急发布系统漏洞公告 建议用户立即修复

苹果发布iOS 13新测试版:修复系统漏洞

决不做“肉鸡”──从零开始自检系统漏洞

GitLab 将默认分支名 master 改为 main

RTM版依然有Bug 实测Windows7系统漏洞

迅雷会员支付系统漏洞致损失百万

ShopEx发布远程代码执行漏洞修复补丁

Facebook称追踪未注册用户全因系统漏洞