股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
警惕！GitLab身份認證繞過漏洞(CVE-2023-4998)風險通告
發(fā)布時間 ：2023年09月21日
類型 ：勒索軟件
分享：
近日，亞信安全CERT監(jiān)控到GitLab 官方披露CVE-2023-4998 Gitlab越權調用pipelines漏洞，屬于身份認證缺陷類型，官方評級嚴重。該漏洞為CVE-2023-3932的繞過，可能導致低權限用戶通過計劃的安全掃描策略以任意用戶身份運行管道作業(yè)，造成敏感信息泄漏等風險。
目前已經發(fā)布修復版本：官方已經更新16.3.4和16.2.7用于GitLab社區(qū)版（CE）和企業(yè)版（EE） ，鑒于該漏洞受影響面較大，亞信安全CERT建議使用Gitlab用戶盡快采取相關措施。參照官方修復方案盡快采取相關措施，做好資產自查以及預防工作，以免遭受黑客攻擊。
GitLab 是一個用于倉庫管理系統(tǒng)的開源項目，使用Git作為代碼管理工具，并在此基礎上搭建起來的web服務。安裝方法是參考GitLab在GitHub上的Wiki頁面。Gitlab是被廣泛使用的基于git的開源代碼管理平臺, 基于Ruby on Rails構建, 主要針對軟件開發(fā)過程中產生的代碼和文檔進行管理。
漏洞編號和等級
CVE-2023-4998
CVSS3.1 9.6
漏洞狀態(tài)
| 漏洞細節(jié) | PoC | EXP | 在野利用 |
| 已公開 | 已公開 | 未公開 | 未知 |
受影響的版本
13.12 <= GitLab CE < 16.2.7
13.12 <= GitLab EE < 16.2.7
16.3 <= GitLab CE < 16.3.4
16.3 <= GitLab EE < 16.3.4
利用條件
需要任意用戶登錄狀態(tài)
修復建議
1. 升級版本
目前該漏洞已經修復，受影響用戶可升級到以下版本：
GitLab EE版本：16.3.4 或16.2.7。
下載鏈接：https://about.gitlab.com/update/
2. 臨時措施
如果無法升級，GitLab EE版本16.2之前的用戶可使用此緩解措施，啟用以下其中一項功能：Direct transfers、Security policies
注意，如果同時啟用了這兩個功能，則會受到該漏洞影響。
參考鏈接
https://about.gitlab.com/releases/2023/09/18/security-release-gitlab-16-3-4-released/
https://nvd.nist.gov/vuln/detail/CVE-2023-4998
https://nvd.nist.gov/vuln/detail/CVE-2023-3932
分享到微信
X