0x01漏洞簡(jiǎn)述

2021年03月18日，360CERT監(jiān)測(cè)發(fā)現(xiàn)GitLab官方發(fā)布了GitLab 代碼執(zhí)行的風(fēng)險(xiǎn)通告，漏洞等級(jí):嚴(yán)重，漏洞評(píng)分:9.9。

未經(jīng)授權(quán)但經(jīng)過(guò)身份驗(yàn)證的用戶，能夠利用該漏洞在服務(wù)器上執(zhí)行任意代碼。

對(duì)此，360CERT建議廣大用戶及時(shí)將GitLab升級(jí)到最新版本。與此同時(shí)，請(qǐng)做好資產(chǎn)自查以及預(yù)防工作，以免遭受黑客攻擊。

0x02風(fēng)險(xiǎn)等級(jí)

360CERT對(duì)該漏洞的評(píng)定結(jié)果如下

0x03漏洞詳情

代碼執(zhí)行漏洞

GitLab社區(qū)版（CE）和企業(yè)版(EE)中存在嚴(yán)重漏洞，未經(jīng)授權(quán)但經(jīng)過(guò)身份驗(yàn)證的用戶可以通過(guò)不安全的，用戶可控的markdown渲染代碼，從而造成代碼執(zhí)行。

0x04影響版本

– GitLab:GitLab: <13.9.4/<13.8.6/<13.7.9

0x05修復(fù)建議

通用修補(bǔ)建議

升級(jí)到最新版本:

官方下載頁(yè)面。

0x06相關(guān)空間測(cè)繪數(shù)據(jù)

360安全大腦-Quake網(wǎng)絡(luò)空間測(cè)繪系統(tǒng)通過(guò)對(duì)全網(wǎng)資產(chǎn)測(cè)繪，發(fā)現(xiàn)GitLab具體分布如下圖所示。

0x07產(chǎn)品側(cè)解決方案

360城市級(jí)網(wǎng)絡(luò)安全監(jiān)測(cè)服務(wù)

360CERT的安全分析人員利用360安全大腦的QUAKE資產(chǎn)測(cè)繪平臺(tái)（quake.#），通過(guò)資產(chǎn)測(cè)繪技術(shù)的方式，對(duì)該漏洞進(jìn)行監(jiān)測(cè)?？陕?lián)系相關(guān)產(chǎn)品區(qū)域負(fù)責(zé)人或(quake##)獲取對(duì)應(yīng)產(chǎn)品。

0x08時(shí)間線

2021-03-16 Gitlab官方發(fā)布通告

2021-03-18 360CERT發(fā)布通告

0x09參考鏈接

1、 Gitlab官方通告

0x0a特制報(bào)告下載鏈接

一直以來(lái)，360CERT對(duì)全球重要網(wǎng)絡(luò)安全事件進(jìn)行快速通報(bào)、應(yīng)急響應(yīng)。為更好地為政企用戶提供最新漏洞以及信息安全事件的安全通告服務(wù)，現(xiàn)360CERT正式推出安全通告特制版報(bào)告，以便用戶做資料留存、傳閱研究與查詢驗(yàn)證。 用戶可直接通過(guò)以下鏈接進(jìn)行特制報(bào)告的下載。

GitLab 遠(yuǎn)程代碼執(zhí)行漏洞通告