【威胁通告】Gitlab EE多个高危漏洞威胁通告

通告编号:NS-2019-0052 2019-12-12

1

漏洞概述

当地时间2019年12月10日，GitLab官方发布了重要版本更新的通告，公布了三个GitLab EE（企业版）的高危漏洞。GitLab是一个用于仓库管理系统的开源项目，使用Git作为代码管理工具，并在此基础上搭建起来的web服务。

CVE-2019-19628：由于maven包的注册中心没有做好准确的参数设置，攻击者可在一定条件下实现权限提升和远程代码执行。

CVE-2019-19629：在将公共项目导入私有群组时，Elasticsearch上集成的Group Search API可能导致私有代码泄露。

CVE-2019-19604：用户在使用git submodule update功能时，攻击者利用该漏洞可执行定义在.gitmodules文件中的任意命令。

参考链接：

https://gitlab.com/gitlab-com/gl-security/disclosures/blob/master/003_git_submodule/advisory.md

https://about.gitlab.com/blog/2019/12/10/critical-security-release-gitlab-12-5-4-released/

SEE MORE →

2影响范围

CVE-2019-19628：

受影响版本

• GitLab EE 11.3及更高版本

不受影响版本

• GitLab EE = 12.3.9
• GitLab EE = 12.4.6
• GitLab EE = 12.5.4

CVE-2019-19629：

受影响版本

• GitLab EE 10.5及更高版本

不受影响版本

• GitLab EE = 12.3.9
• GitLab EE = 12.4.6
• GitLab EE = 12.5.4

CVE-2019-19604：

受影响版本

• Git 2.20.0-2.20.1
• Git 2.21.0
• Git 2.22.0-2.22.1
• Git 2.23.0
• Git 2.24.0
• 所有版本的GitLab Omnibus

不受影响版本

• Git 2.20.2
• Git 2.21.1
• Git 2.22.2
• Git 2.23.1
• Git 2.24.1
• GitLab EE = 12.3.9
• GitLab EE = 12.4.6
• GitLab EE = 12.5.4

3漏洞检测

3.1 版本检测

相关用户可通过版本检测的方法判断当前应用是否存在风险。

Gitlab：

使用如下命令可查看当前Gitlab的版本：

Git：

使用如下命令可查看当前Gti的版本：

若当前版本在受影响范围内，则可能存在安全风险。

4漏洞防护

4.1 官方升级

目前官方已在最新版本中修复了以上漏洞，用户可通过版本升级进行防护。

Gitlab下载和安装方法请参考链接：

https://about.gitlab.com/update/

Git下载和安装方法请参考链接：

https://git-scm.com/download/

END

作者：绿盟科技安全服务部

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。