補丁已釋出近半年，50%聯網的GitLab仍受到RCE缺陷漏洞影響

網路安全研究人員警告稱，GitLab的Web介面中存在一個現已修復的關鍵遠端程式碼執行 (RCE) 漏洞，編號為CVE-2021-22205，該漏洞已被廣泛利用，導致大量面向網際網路的GitLab例項容易受到攻擊。

該漏洞是使用者提供的影像驗證不當的問題，可能導致任意程式碼執行。該漏洞影響11.9以後的所有版本。

GitLab釋出的建議中寫道：“在GitLab CE/EE中發現了一個問題，影響從11.9開始的所有版本。GitLab沒有正確地驗證傳遞給檔案解析器的影像檔案，導致遠端命令執行。並被分配為CVE-2021-22205。這是一個嚴重的問題(9.9)。在最新版本中得到修復。”

GitLab於2021年4月14日釋出了13.8.8、13.9.6和13.10.3版本，解決了該安全漏洞。

該漏洞在野外被積極利用，HN Security的研究人員描述了其客戶之一的攻擊。

威脅參與者在屬於該組織的可公開訪問的GitLab伺服器上建立了兩個具有管理員許可權的使用者帳戶。攻擊者利用該漏洞上傳惡意負載，導致遠端執行任意命令。

儘管該漏洞最初被認為是經過身份驗證的RCE 案例並分配了9.9的CVSS評分，但由於未經身份驗證的威脅行為者也可能觸發該漏洞，因此嚴重性評級在2021年9月21日修訂為10.0。

該漏洞存在於ExifTool中，ExifTool是一個用於從影像中刪除後設資料的開源工具，它無法解析嵌入在上傳影像中的某些後設資料，導致如下所述的程式碼執行。HN Security釋出的分析寫道。

儘管補丁已經公開發布了6個多月，但在60,000個面向網際網路的GitLab安裝中：

21%的安裝已經針對這個問題打了完整的補丁。

50%的安裝沒有針對這個問題打補丁。

29%的安裝可能存在或不存在漏洞。

建議GitLab使用者立即更新安裝。

此外，理想情況下，GitLab不應該是面向Internet的服務。如果需要從Internet訪問GitLab，建議將其置於VPN之後。

GitLab作為一個開源分散式版本控制系統，可以用來管理專案原始碼、版本控制、程式碼複用與查詢。從專案計劃和原始碼管理到CI/CD和監控，GitLab可以在整個DevOps生命週期中發揮作用。隨著DevsecOps概念的提出和發展，安全問題已貫穿整個開發週期當中。GitLab中的安全漏洞問題不但影響產品本身的安全性，而且在開發中很可能為應用程式帶來安全問題。

網路安全事件層出不窮，美國國家標準與技術局(NIST)、國家漏洞資料庫(NVD)資料顯示：90%以上的網路安全問題是由軟體自身的安全漏洞被利用導致的!針對軟體中的安全漏洞，在開發期間透過安全可信的 靜態程式碼檢測工具，可以及時發現程式碼缺陷及潛在的安全漏洞，利於開發人員第一時間修正安全問題，提高軟體自身安全性。

參讀連結：

https://securityaffairs.co/wordpress/124088/hacking/gitlab-rce.html