股票代碼：688225
打開(kāi)微信“掃一掃”，開(kāi)啟安全數(shù)字世界之旅
截圖或長(zhǎng)按保存至相冊(cè)，使用微信掃一掃
警惕！GitLab身份認(rèn)證繞過(guò)漏洞(CVE-2023-4998)風(fēng)險(xiǎn)通告
發(fā)布時(shí)間 ：2023年09月21日
類型 ：勒索軟件
分享：
近日，亞信安全CERT監(jiān)控到GitLab 官方披露CVE-2023-4998 Gitlab越權(quán)調(diào)用pipelines漏洞，屬于身份認(rèn)證缺陷類型，官方評(píng)級(jí)嚴(yán)重。該漏洞為CVE-2023-3932的繞過(guò)，可能導(dǎo)致低權(quán)限用戶通過(guò)計(jì)劃的安全掃描策略以任意用戶身份運(yùn)行管道作業(yè)，造成敏感信息泄漏等風(fēng)險(xiǎn)。
目前已經(jīng)發(fā)布修復(fù)版本：官方已經(jīng)更新16.3.4和16.2.7用于GitLab社區(qū)版（CE）和企業(yè)版（EE） ，鑒于該漏洞受影響面較大，亞信安全CERT建議使用Gitlab用戶盡快采取相關(guān)措施。參照官方修復(fù)方案盡快采取相關(guān)措施，做好資產(chǎn)自查以及預(yù)防工作，以免遭受黑客攻擊。
GitLab 是一個(gè)用于倉(cāng)庫(kù)管理系統(tǒng)的開(kāi)源項(xiàng)目，使用Git作為代碼管理工具，并在此基礎(chǔ)上搭建起來(lái)的web服務(wù)。安裝方法是參考GitLab在GitHub上的Wiki頁(yè)面。Gitlab是被廣泛使用的基于git的開(kāi)源代碼管理平臺(tái), 基于Ruby on Rails構(gòu)建, 主要針對(duì)軟件開(kāi)發(fā)過(guò)程中產(chǎn)生的代碼和文檔進(jìn)行管理。
漏洞編號(hào)和等級(jí)
CVE-2023-4998
CVSS3.1 9.6
漏洞狀態(tài)
| 漏洞細(xì)節(jié) | PoC | EXP | 在野利用 |
| 已公開(kāi) | 已公開(kāi) | 未公開(kāi) | 未知 |
受影響的版本
13.12 <= GitLab CE < 16.2.7
13.12 <= GitLab EE < 16.2.7
16.3 <= GitLab CE < 16.3.4
16.3 <= GitLab EE < 16.3.4
利用條件
需要任意用戶登錄狀態(tài)
修復(fù)建議
1. 升級(jí)版本
目前該漏洞已經(jīng)修復(fù)，受影響用戶可升級(jí)到以下版本：
GitLab EE版本：16.3.4 或16.2.7。
下載鏈接：https://about.gitlab.com/update/
2. 臨時(shí)措施
如果無(wú)法升級(jí)，GitLab EE版本16.2之前的用戶可使用此緩解措施，啟用以下其中一項(xiàng)功能：Direct transfers、Security policies
注意，如果同時(shí)啟用了這兩個(gè)功能，則會(huì)受到該漏洞影響。
參考鏈接
https://about.gitlab.com/releases/2023/09/18/security-release-gitlab-16-3-4-released/
https://nvd.nist.gov/vuln/detail/CVE-2023-4998
https://nvd.nist.gov/vuln/detail/CVE-2023-3932
分享到微信
X