股票代码：688225
打开微信“扫一扫”，开启安(ān)全数字世界之旅
截图或長(cháng)按保存至相册，使用(yòng)微信扫一扫
警惕！GitLab身份认证绕过漏洞(CVE-2023-4998)风险通告
发布时间 ：2023年09月21日
类型 ：勒索软件
分(fēn)享：
近日，亚信安(ān)全CERT监控到GitLab 官方披露CVE-2023-4998 Gitlab越权调用(yòng)pipelines漏洞，属于身份认证缺陷类型，官方评级严重。该漏洞為(wèi)CVE-2023-3932的绕过，可(kě)能(néng)导致低权限用(yòng)户通过计划的安(ān)全扫描策略以任意用(yòng)户身份运行管道作(zuò)业，造成敏感信息泄漏等风险。
目前已经发布修复版本：官方已经更新(xīn)16.3.4和16.2.7用(yòng)于GitLab社區(qū)版（CE）和企业版（EE） ，鉴于该漏洞受影响面较大，亚信安(ān)全CERT建议使用(yòng)Gitlab用(yòng)户尽快采取相关措施。参照官方修复方案尽快采取相关措施，做好资产(chǎn)自查以及预防工(gōng)作(zuò)，以免遭受黑客攻击。
GitLab 是一个用(yòng)于仓库管理(lǐ)系统的开源项目，使用(yòng)Git作(zuò)為(wèi)代码管理(lǐ)工(gōng)具(jù)，并在此基础上搭建起来的web服務(wù)。安(ān)装(zhuāng)方法是参考GitLab在GitHub上的Wiki页(yè)面。Gitlab是被广泛使用(yòng)的基于git的开源代码管理(lǐ)平台, 基于Ruby on Rails构建, 主要针对软件开发过程中(zhōng)产(chǎn)生的代码和文(wén)档进行管理(lǐ)。
漏洞编号和等级
CVE-2023-4998
CVSS3.1 9.6
漏洞状态
| 漏洞细节 | PoC | EXP | 在野利用(yòng) |
| 已公(gōng)开 | 已公(gōng)开 | 未公(gōng)开 | 未知 |
受影响的版本
13.12 <= GitLab CE < 16.2.7
13.12 <= GitLab EE < 16.2.7
16.3 <= GitLab CE < 16.3.4
16.3 <= GitLab EE < 16.3.4
利用(yòng)条件
需要任意用(yòng)户登录状态
修复建议
1. 升级版本
目前该漏洞已经修复，受影响用(yòng)户可(kě)升级到以下版本：
GitLab EE版本：16.3.4 或16.2.7。
下载链接：https://about.gitlab.com/update/
2. 临时措施
如果无法升级，GitLab EE版本16.2之前的用(yòng)户可(kě)使用(yòng)此缓解措施，启用(yòng)以下其中(zhōng)一项功能(néng)：Direct transfers、Security policies
注意，如果同时启用(yòng)了这两个功能(néng)，则会受到该漏洞影响。
参考链接
https://about.gitlab.com/releases/2023/09/18/security-release-gitlab-16-3-4-released/
https://nvd.nist.gov/vuln/detail/CVE-2023-4998
https://nvd.nist.gov/vuln/detail/CVE-2023-3932
分(fēn)享到微信
X