【漏洞通告】GitLab路徑遍歷漏洞(CVE-2023-2825)

一、漏洞概述

CVE ID

CVE-2023-2825

發現時間

2023-05-24

類 型

路徑遍歷

等 級

嚴重

攻擊向量

網路

所需許可權

攻擊複雜度

使用者互動

PoC/EXP

未公開

在野利用

GitLab是一個用於倉庫管理系統的開源項目,其使用Git作為程式碼管理工具,可通過Web界面訪問公開或私人項目。

5月24日,啟明星辰VSRC監測到GitLab官方發佈更新公告,修復了GitLab 社區版 (CE)和企業版(EE)中的一個路徑遍歷漏洞(CVE-2023-2825),其CVSSv3評分為10.0。

該漏洞存在於GitLab CE/EE版本16.0.0中,當嵌套在至少五個組中的公共項目中存在附件時,可在未經身份驗證的情況下通過uploads功能遍歷讀取任意檔案,導致敏感資訊洩露。

二、影響範圍

GitLab CE/EE版本:16.0.0

三、安全措施

3.1 升級版本

目前該漏洞已經修復,受影響使用者可升級到以下版本:

GitLab CE/EE版本:>= 16.0.1

下載連結:

https://about.gitlab.com/update/

3.2 臨時措施

暫無。

3.3 通用建議

定期更新系統補丁,減少系統漏洞,提升伺服器的安全性。

加強系統和網路的訪問控制,修改防火牆策略,關閉非必要的應用埠或服務,減少將危險服務(如SSH、RDP等)暴露到公網,減少攻擊面。

使用企業級安全產品,提升企業的網路安全性能。

加強系統使用者和許可權管理,啟用多因素認證機制和最小許可權原則,使用者和軟體許可權應保持在最低限度。

啟用強密碼策略並設置為定期修改。

3.4 參考連結

https://about.gitlab.com/releases/2023/05/23/critical-security-release-gitlab-16-0-1-released/

https://nvd.nist.gov/vuln/detail/CVE-2023-2825

相關文章

CNNVD通報Oracle多個安全漏洞

CNNVD通報Oracle多個安全漏洞

近日,CNNVD通報Oracle多個安全漏洞,其中Oracle產品本身漏洞60個,影響到Oracle產品的其他廠商漏洞247個。包括Orac...

CNNVD 通報微軟多個安全漏洞

CNNVD 通報微軟多個安全漏洞

近日,CNNVD(國家資訊安全漏洞庫)正式通報微軟多個安全漏洞,其中微軟產品本身漏洞77個,影響到微軟產品的其他廠商漏洞8個。包括Micro...