GitLab 修复两个严重的远程代码执行漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

DevOps 平台 GitLab 修复了位于 GitLab社区版和企业版发布中的两个远程代码执行漏洞 (CVE-2022-2884)。

该漏洞的CVSS评分为9.9，可通过GitHub import API被利用，不过首先需要触发认证。GitLab 在安全公告中指出，“GitLab 社区版/企业版中存在一个漏洞，影响自11.3.4起至15.1.5（不含）的所有版本、自15.2至15.2.3（不含）的所有版本以及自15.3起至15.3.1（不含）的所有版本，可导致认证用户通过GitHub API 端点的 Import 实现远程代码执行。”

该公司指出，“我们强烈建议所有运行受影响版本的程序尽快升级至最新版本。”如无法立即升级，则通过设置目录中的“可见性和访问控制”标签禁用 GitHub import 功能（使用管理员账户）。

GitLab 社区版和企业版15.3.1、15.2.3和15.1.5中已包含补丁。GitLab并未提到该漏洞是否已遭在野利用。

GitLab 15.3还增加了其它安全增强功能，如可和最短密码长度一起选择定义密码复杂度，为所有受保护分支增加批准规则，以及对新访问令牌的安全默认设置。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

GitLab 修复严重的RCE漏洞

GitLab 企业版修复严重的账户接管漏洞

研究员发现针对 GitLab CI 管道的供应链攻击

GitLab 严重漏洞可用于接管用户账户

GitLab 严重漏洞可导致攻击者窃取runner 注册令牌

原文链接

https://www.securityweek.com/gitlab-patches-critical-remote-code-execution-vulnerability

题图：Pixabay License‍

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~