专栏首页绿盟科技安全情报【威胁通告】Gitlab EE多个高危漏洞威胁通告

【威胁通告】Gitlab EE多个高危漏洞威胁通告

通告编号:NS-2019-0052 2019-12-12

TAG:

Gitlab EE、Git、CVE-2019-19604、CVE-2019-19628、CVE-2019-19629

漏洞危害:

高,攻击者利用漏洞,可造成私有代码泄露、远程代码执行。

版本:

1.0

1

漏洞概述

当地时间2019年12月10日,GitLab官方发布了重要版本更新的通告,公布了三个GitLab EE(企业版)的高危漏洞。GitLab是一个用于仓库管理系统的开源项目,使用Git作为代码管理工具,并在此基础上搭建起来的web服务。

CVE-2019-19628:由于maven包的注册中心没有做好准确的参数设置,攻击者可在一定条件下实现权限提升和远程代码执行。

CVE-2019-19629:在将公共项目导入私有群组时,Elasticsearch上集成的Group Search API可能导致私有代码泄露。

CVE-2019-19604:用户在使用git submodule update功能时,攻击者利用该漏洞可执行定义在.gitmodules文件中的任意命令。

参考链接:

https://gitlab.com/gitlab-com/gl-security/disclosures/blob/master/003_git_submodule/advisory.md

https://about.gitlab.com/blog/2019/12/10/critical-security-release-gitlab-12-5-4-released/

SEE MORE →

2影响范围

CVE-2019-19628:

受影响版本

  • GitLab EE 11.3及更高版本

不受影响版本

  • GitLab EE = 12.3.9
  • GitLab EE = 12.4.6
  • GitLab EE = 12.5.4

CVE-2019-19629:

受影响版本

  • GitLab EE 10.5及更高版本

不受影响版本

  • GitLab EE = 12.3.9
  • GitLab EE = 12.4.6
  • GitLab EE = 12.5.4

CVE-2019-19604:

受影响版本

  • Git 2.20.0-2.20.1
  • Git 2.21.0
  • Git 2.22.0-2.22.1
  • Git 2.23.0
  • Git 2.24.0
  • 所有版本的GitLab Omnibus

不受影响版本

  • Git 2.20.2
  • Git 2.21.1
  • Git 2.22.2
  • Git 2.23.1
  • Git 2.24.1
  • GitLab EE = 12.3.9
  • GitLab EE = 12.4.6
  • GitLab EE = 12.5.4

3漏洞检测

3.1 版本检测

相关用户可通过版本检测的方法判断当前应用是否存在风险。

Gitlab:

使用如下命令可查看当前Gitlab的版本:

cat /opt/gitlab/embedded/service/gitlab-rails/VERSION

Git:

使用如下命令可查看当前Gti的版本:

git --version

若当前版本在受影响范围内,则可能存在安全风险。

4漏洞防护

4.1 官方升级

目前官方已在最新版本中修复了以上漏洞,用户可通过版本升级进行防护。

Gitlab下载和安装方法请参考链接:

https://about.gitlab.com/update/

Git下载和安装方法请参考链接:

https://git-scm.com/download/

END

作者:绿盟科技安全服务部

声明

本安全公告仅用来描述可能存在的安全问题,绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告,必须保证此安全公告的完整性,包括版权声明等全部内容。未经绿盟科技允许,不得任意修改或者增减此安全公告内容,不得以任何方式将其用于商业目的。

本文分享自微信公众号 - 绿盟科技安全预警(nsfocus_secwarning),作者:绿盟安全服务部

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2019-12-12

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 【漏洞通告】Git凭证泄露漏洞(CVE-2020-5260)通告

    4月15日,Git发布安全通告公布了一个导致Git用户凭证泄露的漏洞(CVE-2020-5260)。Git使用凭证助手(credential helper)来帮...

    绿盟科技安全情报
  • 【威胁通告】GitLab EE/CE 信息泄露漏洞(CVE-2020-6832)威胁通告

    北京时间1月14号,GitLab官方发布了一则重要版本更新的安全通告,修复了一个可能导致私有项目信息泄露的漏洞(CVE-2020-6832)。GitLab是一个...

    绿盟科技安全情报
  • 【漏洞预警】PostgreSQL任意代码执行 漏洞(CVE-2019-9193)预警通告

    近日,安全研究人员披露了PostgreSQL提权代码执行漏洞(CVE-2019-9193)的漏洞细节,具有数据库服务端文件读权限的攻击者利用此漏洞,可执行任意系...

    绿盟科技安全情报
  • 智慧城市,第1部分:建设面向未来的互联城市

    我们都听说过“智慧城市”这个词。但它不仅仅是一个现代流行语 ,它是现在最令物联网开发人员最激动的趋势之一。

    用户1187157
  • 掌握这个技巧,Git命令效率提升99%!

    作为娇贵的程序员,我可不想每次都得输入完整的 Git 命令,可以通过 git config 文件来轻松地为每一个命令设置一个别名。 这里有一些例子你可以试试:

    JavaEdge
  • SpringCloud微服务实战(六)-统一配置中心1 统一配置中心概述2 Config Server

    JavaEdge
  • 智慧城市带来的网络威胁有哪些?

    如今,中国城市正在疾步向前拥抱智慧时代,我国是全球智慧城市建设最为积极的国家之一。近年来,智慧城市建设步入快车道时代!据不完全统计,中国智慧城市的发展数量已经超...

    墨者安全科技
  • Python灰帽编程 3.3 MAC洪水

    Python灰帽编程 3.3 MAC洪水 传统的交换机(我只对我目前使用的交互机做过测试,按照常识只能这样表述)在数据转发过程中依靠对CAM表的查询来确定正确的...

    用户1631416
  • 新东方式“自救”:腾讯新基建爆发

    ? 2003年春天,北京“非典”患者剧增,经过七天七夜的抢建,小汤山“非典”医院投入使用。受非典疫情影响,新东方承诺,学生可以无条件退费。春寒料峭,但退费的人...

    鹅老师
  • 2014年十大科学突破:机器人菲莱登陆彗星荣登榜首

    美国《科学》杂志18日公布了其评出的2014年十大科学突破,这是对全球科学研究每年一度的年终盘点,人造探测器首次登陆彗星被选为本年度最重要的科学突破。欧洲“罗塞...

    机器人网

扫码关注云+社区

领取腾讯云代金券