【威胁通告】Gitlab EE 多个高危漏洞

阅读： 1,314

攻击者利用漏洞，可造成私有代码泄露、远程代码执行。

一. 漏洞概述

当地时间2019年12月10日，GitLab官方发布了重要版本更新的通告，公布了三个GitLab EE（企业版）的高危漏洞。GitLab是一个用于仓库管理系统的开源项目，使用Git作为代码管理工具，并在此基础上搭建起来的web服务。

CVE-2019-19628：由于maven包的注册中心没有做好准确的参数设置，攻击者可在一定条件下实现权限提升和远程代码执行。

CVE-2019-19629：在将公共项目导入私有群组时，Elasticsearch上集成的Group Search API可能导致私有代码泄露。

CVE-2019-19604：用户在使用git submodule update功能时，攻击者利用该漏洞可执行定义在.gitmodules文件中的任意命令。

参考链接：

https://gitlab.com/gitlab-com/gl-security/disclosures/blob/master/003_git_submodule/advisory.md

https://about.gitlab.com/blog/2019/12/10/critical-security-release-gitlab-12-5-4-released/

二、影响范围

CVE-2019-19628：

受影响版本

GitLab EE 11.3 及更高版本

不受影响版本

GitLab EE = 12.3.9
GitLab EE = 12.4.6
GitLab EE = 12.5.4

CVE-2019-19629：

受影响版本

GitLab EE 10.5 及更高版本

不受影响版本

GitLab EE = 12.3.9
GitLab EE = 12.4.6
GitLab EE = 12.5.4

CVE-2019-19604：

受影响版本

Git 2.20.0-2.20.1
Git 2.21.0
Git 2.22.0-2.22.1
Git 2.23.0
Git 2.24.0
所有版本的GitLab Omnibus

不受影响版本

Git 2.20.2
Git 2.21.1
Git 2.22.2
Git 2.23.1
Git 2.24.1
GitLab EE = 12.3.9
GitLab EE = 12.4.6
GitLab EE = 12.5.4

三、漏洞检测

相关用户可通过版本检测的方法判断当前应用是否存在风险。

Gitlab：

使用如下命令可查看当前Gitlab的版本：

cat /opt/gitlab/embedded/service/gitlab-rails/VERSION

Git：

使用如下命令可查看当前Gti的版本：

git –version

若当前版本在受影响范围内，则可能存在安全风险。

四、漏洞防护

官方升级

目前官方已在最新版本中修复了以上漏洞，用户可通过版本升级进行防护。

Gitlab下载和安装方法请参考链接：

https://about.gitlab.com/update/

Git下载和安装方法请参考链接：

https://git-scm.com/download/

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

关于绿盟科技

北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。

基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。

北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：绿盟科技，股票代码：300369。

【威胁通告】Gitlab EE 多个高危漏洞