0x00 風(fēng)險(xiǎn)概述
近日,,GitLab中的一個(gè)未經(jīng)身份驗(yàn)證的遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2021-22205)被廣泛利用,該漏洞已于4月修復(fù),,但目前仍有超過(guò) 30,000 個(gè)GitLab未修復(fù)此漏洞,。
0x01 攻擊詳情
2021 年 4 月 14 日,GitLab修復(fù)了GitLab社區(qū)版(CE)和企業(yè)版(EE)中的一個(gè)遠(yuǎn)程代碼執(zhí)行漏洞,,該漏洞跟蹤為CVE-2021-22205,,其CVSS評(píng)分為9.9(之后更改為10.0)。該漏洞是由于GitLab沒(méi)有正確驗(yàn)證傳遞到文件解析器的image文件而導(dǎo)致的遠(yuǎn)程命令執(zhí)行,,遠(yuǎn)程攻擊者可以利用此漏洞訪(fǎng)問(wèn)存儲(chǔ)庫(kù),,并刪除、修改或竊取源代碼,。
2021年 6 月4日,,該漏洞的EXP腳本在GitHub上公開(kāi),隨后攻擊者開(kāi)始利用EXP來(lái)濫用有漏洞的ExifTool組件,,攻擊面向互聯(lián)網(wǎng)的GitLab服務(wù)器,,并創(chuàng)建新用戶(hù)并賦予其管理員權(quán)限。攻擊者不需要認(rèn)證或使用CSRF token,,甚至不需要有效的HTTP端點(diǎn)來(lái)使用該EXP,。
根據(jù)Rapid7發(fā)布的報(bào)告,在他們發(fā)現(xiàn)的 60,000 個(gè)面向互聯(lián)網(wǎng)的 GitLab 中,,至少有 50% 沒(méi)有修復(fù)這個(gè)RCE 漏洞,,具體情況如下:
21%的安裝已針對(duì)此漏洞進(jìn)行了全面修補(bǔ)。
50%的安裝未針對(duì)此漏洞進(jìn)行修補(bǔ),。
29%的安裝可能存在此漏洞,,也可能不存在此漏洞,。
但要修復(fù)CVE-2021-22205,管理員至少需要將GitLab CE/EE更新到13.10.3,、13.9.6或13.8.8,。
0x02 風(fēng)險(xiǎn)等級(jí)
高危。
0x03 影響范圍
Gitlab CE/EE < 13.8.8
Gitlab CE/EE < 13.9.6
Gitlab CE/EE < 13.10.3
0x04 安全建議
目前此漏洞已經(jīng)修復(fù),,鑒于該漏洞已被廣泛利用,,建議受影響的用戶(hù)立即將Gitlab CE/EE升級(jí)更新到最新版本。
為了確保GitLab實(shí)例不易受到攻擊,,可以檢查它對(duì)POST請(qǐng)求的響應(yīng),,這些請(qǐng)求試圖利用ExifTool對(duì)image文件的錯(cuò)誤處理。修復(fù)版本對(duì)請(qǐng)求的響應(yīng)應(yīng)該是HTTP 404錯(cuò)誤形式的拒絕,。
另外,,理想情況下,GitLab不應(yīng)該是面向Internet 的服務(wù),。如果需要從 Internet 訪(fǎng)問(wèn)GitLab,,請(qǐng)考慮將其置于VPN之后。
啟明星辰VSRC已于2021年4月15日發(fā)布了此漏洞的安全公告:GitLab 4月遠(yuǎn)程代碼執(zhí)行漏洞,。
0x05 參考鏈接
https://about.gitlab.com/releases/2021/04/14/security-release-gitlab-13-10-3-released/
https://www.bleepingcomputer.com/news/security/over-30-000-gitlab-servers-still-unpatched-against-critical-bug/
https://thehackernews.com/2021/11/alert-hackers-exploiting-gitlab.html
https://www.rapid7.com/blog/post/2021/11/01/gitlab-unauthenticated-remote-code-execution-cve-2021-22205-exploited-in-the-wild/