GitLab的Critical RCE bug已修補，請盡快更新?。–VE-2022-2884）
2022/8/25 9:31:39
人評論
次
GitLab的Critical RCE bug已修補，請盡快更新！（CVE-2022-2884）
GitLab已經(jīng)修復(fù)了一個影響社區(qū)和DevOps平臺企業(yè)版的遠程代碼執(zhí)行漏洞（CVE-2022-2884），并敦促管理員立即升級其GitLabs實例。
CVE-2022-2884
該漏洞是通過該公司的bug bounty計劃報告的，沒有提到它被攻擊者利用。
關(guān)于CVE-2022-2884
該公司解釋說，CVE-2022-2884是一個嚴重性問題，可能允許經(jīng)過身份驗證的用戶通過從GitHub API端點導(dǎo)入實現(xiàn)遠程代碼執(zhí)行。
它影響所有GitLab CE/EE版本：
從11.3.4開始，在15.1.5之前
從15.2開始，在15.2.3之前
從15.3開始，在15.3.1之前
由于已知攻擊者的目標是未修補的（本地）GitLab服務(wù)器，該公司“強烈建議”盡快將運行易受攻擊版本的所有安裝升級到最新版本。
如果目前無法升級，可以實施一種權(quán)宜之計：管理員可以在其GitLab安裝中禁用GitHub導(dǎo)入（菜單->管理->設(shè)置->常規(guī)->可見性和訪問控制->導(dǎo)入源->禁用“GitHu”選項->保存更改）。此操作將緩解此問題，但也會阻止用戶從GitHub導(dǎo)入項目或存儲庫。
GitLab確保GitLab.com已經(jīng)在運行修補版本，具體詳情請管理員盡快參考一篇指南，best practices for securing GitLab instances。
相關(guān)新聞
-
>數(shù)以千計的 QNAP NAS 設(shè)備被DeadBolt勒索軟件攻擊 （CVE-2022-27593）
-
>IPguard發(fā)布新版本4.51.113.0
-
>IPguard發(fā)布新版本4.54.818.0
-
>IPguard發(fā)布新版本4.61.123.0
-
>什么是數(shù)據(jù)工程師？
-
>祝賀我司續(xù)簽IPguard鉆石代理(最高級)
-
>IPguard發(fā)布新版本4.53.613.0
-
>GitLab的Critical RCE bug已修補，請盡快更新?。–VE-2022-2884）
-
>屏幕水印技術(shù)有哪些表現(xiàn)形態(tài)
-
>注意！?。isco身份認證服務(wù)引擎中的漏洞（CVE-2022-20822、CVE-2022-20959）
