本文來(lái)自安全客平臺(tái)（www.anquanke.com），作者:安全客，站長(zhǎng)之家經(jīng)授權(quán)轉(zhuǎn)載。

0x01漏洞簡(jiǎn)述

2021年03月18日，360CERT監(jiān)測(cè)發(fā)現(xiàn)GitLab官方發(fā)布了GitLab 代碼執(zhí)行的風(fēng)險(xiǎn)通告，漏洞等級(jí):嚴(yán)重，漏洞評(píng)分:9.9。

未經(jīng)授權(quán)但經(jīng)過(guò)身份驗(yàn)證的用戶(hù)，能夠利用該漏洞在服務(wù)器上執(zhí)行任意代碼。

對(duì)此，360CERT建議廣大用戶(hù)及時(shí)將GitLab升級(jí)到最新版本。與此同時(shí)，請(qǐng)做好資產(chǎn)自查以及預(yù)防工作，以免遭受黑客攻擊。

0x02風(fēng)險(xiǎn)等級(jí)

360CERT對(duì)該漏洞的評(píng)定結(jié)果如下

0x03漏洞詳情

代碼執(zhí)行漏洞

GitLab社區(qū)版（CE）和企業(yè)版(EE)中存在嚴(yán)重漏洞，未經(jīng)授權(quán)但經(jīng)過(guò)身份驗(yàn)證的用戶(hù)可以通過(guò)不安全的，用戶(hù)可控的markdown渲染代碼，從而造成代碼執(zhí)行。

0x04影響版本

–GitLab:GitLab: <13.9.4/<13.8.6/<13.7.9

0x05修復(fù)建議

通用修補(bǔ)建議

升級(jí)到最新版本:

官方下載頁(yè)面。

0x06相關(guān)空間測(cè)繪數(shù)據(jù)

360安全大腦-Quake網(wǎng)絡(luò)空間測(cè)繪系統(tǒng)通過(guò)對(duì)全網(wǎng)資產(chǎn)測(cè)繪，發(fā)現(xiàn)GitLab具體分布如下圖所示。

0x07產(chǎn)品側(cè)解決方案

360城市級(jí)網(wǎng)絡(luò)安全監(jiān)測(cè)服務(wù)

360CERT的安全分析人員利用360安全大腦的QUAKE資產(chǎn)測(cè)繪平臺(tái)（quake.#），通過(guò)資產(chǎn)測(cè)繪技術(shù)的方式，對(duì)該漏洞進(jìn)行監(jiān)測(cè)?？陕?lián)系相關(guān)產(chǎn)品區(qū)域負(fù)責(zé)人或(quake##)獲取對(duì)應(yīng)產(chǎn)品。

0x08時(shí)間線(xiàn)

2021-03-16Gitlab官方發(fā)布通告

2021-03-18360CERT發(fā)布通告

0x09參考鏈接

1、 Gitlab官方通告

0x0a特制報(bào)告下載鏈接

一直以來(lái)，360CERT對(duì)全球重要網(wǎng)絡(luò)安全事件進(jìn)行快速通報(bào)、應(yīng)急響應(yīng)。為更好地為政企用戶(hù)提供最新漏洞以及信息安全事件的安全通告服務(wù)，現(xiàn)360CERT正式推出安全通告特制版報(bào)告，以便用戶(hù)做資料留存、傳閱研究與查詢(xún)驗(yàn)證。 用戶(hù)可直接通過(guò)以下鏈接進(jìn)行特制報(bào)告的下載。

GitLab 遠(yuǎn)程代碼執(zhí)行漏洞通告

（舉報(bào)）