GitLab远程代码执行漏洞(CVE-2022-2992)处理

该漏洞存在是由于未对GitHub中导入的API端点请求数据进行校验。经过身份认证的远程攻击者可通过发送特制的请求包最终在目标机器上执行任意代码。

影响版本
11.10 <= GitLab CE/EE < 15.1.6
GitLab CE/EE 15.2.x < 15.2.4
GitLab CE/EE 15.3.x < 15.3.2

可以通过禁用 GitHub 导入来缓解。使用管理员帐户登录到GitLab 安装并执行以下操作：

1.点击“菜单”->“管理”。

2.点击“设置”->“常规”。

3.展开“可见性和访问控制”选项卡。

4.在“导入源”下禁用“GitHub”选项。

5.点击“保存更改”。

验证：

1.在浏览器窗口中，以任何用户身份登录。

2.点击顶部栏上的“+”。

3.点击“新建项目/存储库”。

4.点击“导入项目”。

5.确认“GitHub”没有作为导入选项出现。