GitLab的Critical RCE bug已修補(bǔ)，請(qǐng)盡快更新！（CVE-2022-2884）
GitLab的Critical RCE bug已修補(bǔ)，請(qǐng)盡快更新！（CVE-2022-2884）
GitLab已經(jīng)修復(fù)了一個(gè)影響社區(qū)和DevOps平臺(tái)企業(yè)版的遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2022-2884），并敦促管理員立即升級(jí)其GitLabs實(shí)例。
CVE-2022-2884
該漏洞是通過(guò)該公司的bug bounty計(jì)劃報(bào)告的，沒(méi)有提到它被攻擊者利用。
關(guān)于CVE-2022-2884
該公司解釋說(shuō)，CVE-2022-2884是一個(gè)嚴(yán)重性問(wèn)題，可能允許經(jīng)過(guò)身份驗(yàn)證的用戶通過(guò)從GitHub API端點(diǎn)導(dǎo)入實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。
它影響所有GitLab CE/EE版本：
從11.3.4開(kāi)始，在15.1.5之前
從15.2開(kāi)始，在15.2.3之前
從15.3開(kāi)始，在15.3.1之前
由于已知攻擊者的目標(biāo)是未修補(bǔ)的（本地）GitLab服務(wù)器，該公司“強(qiáng)烈建議”盡快將運(yùn)行易受攻擊版本的所有安裝升級(jí)到最新版本。
如果目前無(wú)法升級(jí)，可以實(shí)施一種權(quán)宜之計(jì)：管理員可以在其GitLab安裝中禁用GitHub導(dǎo)入（菜單->管理->設(shè)置->常規(guī)->可見(jiàn)性和訪問(wèn)控制->導(dǎo)入源->禁用“GitHu”選項(xiàng)->保存更改）。此操作將緩解此問(wèn)題，但也會(huì)阻止用戶從GitHub導(dǎo)入項(xiàng)目或存儲(chǔ)庫(kù)。
GitLab確保GitLab.com已經(jīng)在運(yùn)行修補(bǔ)版本，具體詳情請(qǐng)管理員盡快參考一篇指南，best practices for securing GitLab instances。
相關(guān)新聞
-
>數(shù)以千計(jì)的 QNAP NAS 設(shè)備被DeadBolt勒索軟件攻擊 （CVE-2022-27593）
-
>IPguard發(fā)布新版本4.51.113.0
-
>IPguard發(fā)布新版本4.61.123.0
-
>IPguard發(fā)布新版本4.54.818.0
-
>什么是數(shù)據(jù)工程師？
-
>祝賀我司續(xù)簽IPguard鉆石代理(最高級(jí))
-
>IPguard發(fā)布新版本4.53.613.0
-
>GitLab的Critical RCE bug已修補(bǔ)，請(qǐng)盡快更新?。–VE-2022-2884）
-
>屏幕水印技術(shù)有哪些表現(xiàn)形態(tài)
-
>注意?。?！Cisco身份認(rèn)證服務(wù)引擎中的漏洞（CVE-2022-20822、CVE-2022-20959）
