GitLab 严重漏洞在野被广泛利用，企业需立即自查

已于 2024-01-18 18:15:23 修改
阅读量526 收藏
点赞数
文章标签： gitlab
于 2023-07-23 17:27:47 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_53058639/article/details/131881816
版权

1. 前言

近日，微步在线旗下微步情报局利用免费社区蜜罐 HFish 捕获到 GitLab
未授权远程命令执行漏洞（CVE-2021-22205）在野利用，攻击成功后攻击者会植入挖矿木马进行挖矿。该漏洞无需进行身份验证即可进利用，危害极大。

GitLab 是 GitLab Inc. 开发用于代码仓库管理系统的开源项目。GitLab 广泛应用于多个企业，该漏洞影响范围较广。

2. 事件详情

在2021年“双11”前夜， HFish 蜜罐与 OneEDR 联合行动，捕获并处置了一起真实利用 GitLab
未授权远程命令执行漏洞（CVE-2021-22205）在野漏洞进行挖矿的攻击。

根据部署在互联网的 GitLab 服务模拟蜜罐显示，该攻击发生在11月10日晚上21点，某国内IP经过简单扫描踩点后，发送可疑HTTP
POST请求，经过分析确认该漏洞为利用ExifTool解析图片异常导致命令执行的CVE-2021-22205，并提取行为特征推送给 OneEDR 客户。

由于该漏洞利用简单，且利用代码已经公开，多个企业用户已经感知部分主机失陷，主机告警界面出现了多条告警信息，告警名称是木马进程
xmrig，研究人员根据文件的名称判定是与挖矿相关的木马。

3. 告警排查分析

点击日志详情，在2021/11/11 18:10 - 2021/11/11 18:20 时间内，发现有多个文件下载行为。

点击其中一个日志查看详情可以发现，该操作第一次发生是在
GitLab 相关的目录，初步怀疑是通过 GitLab 漏洞进来的。

登录服务器排查，查看 GitLab 的相关日志，发现有同一可疑 IP 多次访问 GitLab，post 请求传输数据的时间与 OneEDR
产生告警时间几乎一致。

#cat production.log | grep POST

研究人员利用
CVE-2021-22205 漏洞的 exp 去验证该 GitLab 是不是存在 GitLab rce
(CVE-2021-22205)的漏洞，经过验证发现确认，该 GitLab 存在 RCE 漏洞。

接着，把
xmrig 木马拿到本地虚拟机进行分析，发现该木马是门罗币挖矿木马，它可以指定 url 进行挖矿、后台运行挖矿程序、以及指定钱包地址等方式进行挖矿活动 。

**3.1 处置建议 **
1、自查 GitLab 是否在下面涉及到的版本，若是，请自行升级 GitLab 版本。

本次漏洞影响的 GitLab版本：

11.9 <= GitLab（CE/EE）< 13.8.8
13.9 <= GitLab（CE/EE）< 13.9.6
13.10 <= GitLab（CE/EE）< 13.10.3
GitLab 相关源 https://mirrors.tuna.tsinghua.edu.cn/gitlab-ce/yum/el7/ ；

2、GitLab密码使用高强度密码，切勿使用弱口令，防止黑客暴力破解。

4. 总结与思考

4.1 事件总结
本次事件是通过免费社区蜜罐 HFish、OneEDR 在收集终端的进程、网络、文件等系统行为发现的，通过 OneEDR
的智能关联功能，可了解到安全事件的上下文以及主机、账号、进程等信息，通过“进程链”快速掌握事件的影响范围以及事件的概括，从而精准溯源。

HFish 是一款基于 Golang 开发的社区免费蜜罐，可提供多种网络服务和 Web 应用模拟。

OneEDR
是一款专注于主机入侵检测的新型终端防护平台，通过利用威胁情报、行为分析、智能事件聚合、机器学习等技术手段，实现对主机入侵的精准发现，发现已知与未知的威胁。充分利用
ATT&CK 对攻击全链路进行多点布控，全面发现入侵行为的蛛丝马迹。

4.2 事件思考
1.随着近几年5G物联网的迅速发展，物联网设备数量呈几何增长，物联网设备已经成为主要的攻击目标。

2.随着物联网设备的不断增多，使用SSH
暴力破解攻击会也越来越多,这会让僵尸网络迅速增加自己的bot；与此同时，黑客租用的是国外匿名廉价的虚拟专用服务器，它不但成本低，而且溯源难度较高，所以，以后僵尸网络只会越来越多。

3.目前的IOT僵尸网络以 DDoS 和 挖矿的木马为主。

原文内容参考反制溯源_欺骗防御_主动防御-HFish免费蜜罐平台

安全传送门 >>

访问 https://hfish.io/#/ 即可开始一键部署，也可以扫描下方【HFish官方交流群】二维码进群与我们交流哦！

————————————————
版权声明：本文为CSDN博主「微步在线」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/weixin_56810455/article/details/121418995

请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/weixin_56810455/article/details/121418995

网络安全学习路线

这是一份网络安全从零基础到进阶的学习路线大纲全览，小伙伴们记得点个收藏！

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-43eLEGpI-1690104455366)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]编辑

阶段一：基础入门

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-TWBBE1tN-1690104455369)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

网络安全导论

渗透测试基础

网络基础

操作系统基础

Web安全基础

数据库基础

编程基础

CTF基础

该阶段学完即可年薪15w+

阶段二：技术进阶（到了这一步你才算入门）

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Cy4Ouzcx-1690104455372)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

弱口令与口令爆破

XSS漏洞

CSRF漏洞

SSRF漏洞

XXE漏洞

SQL注入

任意文件操作漏洞

业务逻辑漏洞

该阶段学完年薪25w+

阶段三：高阶提升

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-yUrpjjfw-1690104455374)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

反序列化漏洞

RCE

综合靶场实操项目

内网渗透

流量分析

日志分析

恶意代码分析

应急响应

实战训练

该阶段学完即可年薪30w+

阶段四：蓝队课程

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-fFB7IXIi-1690104455377)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

蓝队基础

蓝队进阶

该部分主攻蓝队的防御，即更容易被大家理解的网络安全工程师。

攻防兼备，年薪收入可以达到40w+

阶段五：面试指南&阶段六：升级内容

img

需要上述路线图对应的网络安全配套视频、源码以及更多网络安全相关书籍&面试题等内容

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

同学们可以扫描下方二维码获取哦！

程序员小肖
关注
Poc/Exp漏洞验证利用脚本编写
悦分享
07-07 5821
一、安全名词1. POCPOC，Proof ofConcept，中⽂意思是“观点证明”。这个短语会在漏洞报告中使⽤，漏洞报告中的POC则是⼀段说明或者⼀个攻击的样例，使得读者能够确认这个漏洞是真实存在的。2. EXPEXP，Exploit，中文叫漏洞利用程序。意思就是该漏洞存在公开的利用方式（比如一个脚本），就是一段可以发挥漏洞价值的程序，对漏洞如何利⽤的详细说明或者⼀个演⽰的漏洞攻击代码，可以使得读者完全了解漏洞的机理以及利⽤的⽅法。想象一下这样的场景，目标存在一个 SQL 注入漏洞，然后被你知道了，然后
【严重】GitLab 存在代码执行漏洞
murphysec的博客
06-01 848
墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。产品可以极低成本的和现有开发流程中的各种工具一键打通，包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等数十种工具无缝集成。gitlab@影响所有版本。
GitLab存在任意用户密码重置漏洞（CVE-2023-7028）
qq_32947907的博客
01-16 1156
2024年1月11日，Gitlab官方披露CVE-2023-7028 GitLab 任意用户密码重置漏洞，官方评级严重。官方已发布安全更新，建议升级至最新版本，若无法升级，建议利用安全组功能设置Gitlab仅对可信地址开放。•排查gitlab-rails/production_json.log日志中是否有访问/users/password接口，且参数中包含多个邮件地址。当Gitlab启用邮箱登录、启用SMTP时，向密码重置接口发送payload，此步骤需要掌握一个已知邮箱账户。3）未开启多因素认证。
GitLab爆出惊天漏洞，攻击者可轻易操控Pipeline作业！新加坡警方一网打尽，全球黑客犯罪集团六名要犯落网！Mustang Panda升级恶意武器库，亚太地区政府遭严密监视！| 安全周报0913
weixin_55163056的博客
09-13 1597
惊爆！Linux遭神秘恶意软件袭击，Oracle Weblogic成挖矿门户！GitLab爆出惊天漏洞，攻击者可轻易操控Pipeline作业！新加坡警方一网打尽，全球黑客犯罪集团六名要犯落网！微软大曝光！79个漏洞补丁齐发，3大Windows漏洞正被黑客疯狂利用！Mustang Panda升级恶意武器库，亚太地区政府遭严密监视！
GitLab 存储型XSS漏洞 （CVE-2023-0050）
murphysec的博客
03-09 730
GitLab 是由GitLab公司开发的、基于Git的集成软件开发平台。kroki是一款集成在GitLab的基于文本的图表描述自动转为图片的开源工具，在GitLab 13.7引入。 由于Kroki中lib/banzai/filter/kroki_filter.rb对接收的image_src过滤不严，具有AsciiDoc、Markdown、reStructuredText 或 Textile 文档编辑权限的攻击者可通过恶意构造的Kroki图，当用户访问的页面对Kroki图渲染时，即可触发恶意代码，进行执行任
漏洞在GitLab中（CVE-2023-2825）
ptsecurity的博客
06-06 2690
我们想告诉你另一个CVE-2023-2825漏洞，我们认为这是一个趋势性的漏洞。CVSS3.1: 10.0影响到GitLab社区版和企业版16.0.0产品。
逃逸IE浏览器沙箱-在野0Day漏洞利用复现
10-13
在野0Day漏洞是指尚未被公开且正在被黑客利用的漏洞，具有很高的危害性。 描述中的“逃逸IE浏览器沙箱_在野0Day漏洞利用复现”进一步强调了这个主题，意味着该资料将详细展示如何重现这些漏洞的实际利用过程，帮助...
Gitlab 远程命令执行漏洞（CVE-2021-22205）分析
ML_Team的博客
10-29 3570
0x01 前言 GitLab 是由GitLab Inc.开发的一个用于仓库管理系统的开源项目，使用Git作为代码管理工具，可通过Web界面访问公开或私人项目。由于GitLab存在未授权的端点，导致该漏洞在无需进行身份验证的情况下即可进行利用。 0x02 漏洞分析 未授权的端口在于用户注册：https://xx.xx.xx.xx/users/sign_up 还可以滥用Gitlab API接口列出所有项目（包括私有项目） https://xx.xx.xx.xx/api/v4/projec.
QNAP NAS在野漏洞攻击事件披露 .pdf
09-05
QNAP NAS在野漏洞攻击事件披露 安全架构 web安全 安全架构信息安全 安全建设
漏洞利用各类型占比
m0_74079109的博客
12-01 1126
畸形攻击占所有攻击比例的 54.24%，畸形攻击作为网络攻击的一种，主要通过向目标系统发送有 缺陷的报文，使得目标系统在处理这样的报文时耗时很大甚至出错、崩溃，给目标机器构成威胁、带来 很大的损失。我们按照漏洞所在的主机环境或业务场景，将漏洞粗略的划分为服务器漏洞、桌面应用漏洞和设备 漏洞。由于设备类资源数量大，防御少，获取难度普遍较低，相关的漏洞利用难度也普遍较小，一旦利用 成功能够获取到设备系统较高的权限，因此这类漏洞受到攻击者的关注，需要安全厂商及相关从业人员 格外重视并探索防御的技术与方案。
GitLab任意文件读取漏洞(CVE-2020-10977)POC
01-15
检测脚本
GitLab 严重漏洞导致攻击者以任意用户身份运行管道
smellycat000的专栏
06-28 264
聚焦源代码安全，网罗国内外最新资讯！编译：代码卫士GitLab 社区版和企业版的某些版本受一个严重漏洞 (CVE-2024-5655) 影响，可被攻击者用于以任何用户身份运行管道。GitLab 是一款基于 web 的热门开源软件项目管理和工作跟踪平台，活跃的许可用户数量约100万人。该漏洞的CVSS评分为9.6，在一定条件下可被攻击者以其它用户身份触发管道。GitLab 管道是CI/CD系统的一...
gitlab 命令执行漏洞（CVE-2022-2992）
网络安全。
01-15 2057
GitLab CE/EE 中的一个漏洞影响从 11.10 开始到 15.1.6 之前的所有版本、从 15.2 开始到 15.2.4 之前的所有版本、从 15.3 开始到 15.3.2 之前的所有版本。允许经过身份验证的用户通过从 GitHub API 端点导入实现远程代码执行。查看 gitlab 版本。(登录后才能看到)
GitLab 目录遍历漏洞复现(CVE-2023-2825)
0xSec
05-27 3905
GitLab 存在目录遍历漏洞，当嵌套在至少五个组中的公共项目中存在附件时，未经身份验证的恶意用户可以利用该漏洞读取服务器上的任意文件。
GitLab执行漏洞（CVE-2021-22205）修复记录
lsc_000的博客
11-04 3063
腾讯云木马文件通知 10月29日，腾讯云就发送邮件警报【木马文件通知】，如下： 检测到存在未处理的木马文件：/tmp/woritf，您的服务器疑似被黑客入侵，可能造成严重损失 当时只是简单处理了下，将/tmp/woritf文件删除，之后就没有再管了。 10月31日，又有邮件报警【木马文件通知】，竟然又校测到木马文件，如下： 检测到存在未处理的木马文件：/var/tmp/c3pool/xmrig，您的服务器疑似被黑客入侵，可能造成严重损失 烦了，就进到腾讯云主机里边查看了具体的通知，这才发现是因为
GitLab：注意严重的任意分支管道执行漏洞
最新发布
smellycat000的专栏
10-11 413
聚焦源代码安全，网罗国内外最新资讯！编译：代码卫士GitLab 发布安全更新，修复了位于社区版 (CE) 和企业版 (EE) 中的多个漏洞，其中一个是严重的任意分支管道执行漏洞 (CVE-2024-9164)。该漏洞可导致未授权用户在仓库的任何分支上触发持续集成/持续交付 (CI/CD) 管道。CI/CD管道是执行多种任务如构建、测试和部署代码的自动化流程，通常仅向具有恰当权限的用户开放。如攻击...
GitLab远程代码执行漏洞风险提示(CVE-2022-2185)
qzt961003的博客
07-05 4102
近日， GitLab 官方发布了安全公告，修复了 GitLab 社区版（CE）和企业版（EE）中的一个远程代码执行漏洞（CVE-2022-2185），CVSS 评分 9.9，该漏洞源于授权用户可以导入恶意制作的项目导致远程代码执行,成功利用此漏洞的攻击者可获得服务器权限。目前官方已发布安全版本，建议受影响的用户尽快采取安全措施。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值