0x00 风险概述

　　近日，GitLab中的一个未经身份验证的远程代码执行漏洞（CVE-2021-22205）被广泛利用，该漏洞已于4月修复，但目前仍有超过 30,000 个GitLab未修复此漏洞。

　　0x01 攻击详情

　　2021 年 4 月 14 日，GitLab修复了GitLab社区版（CE）和企业版（EE）中的一个远程代码执行漏洞，该漏洞跟踪为CVE-2021-22205，其CVSS评分为9.9（之后更改为10.0）。该漏洞是由于GitLab没有正确验证传递到文件解析器的image文件而导致的远程命令执行，远程攻击者可以利用此漏洞访问存储库，并删除、修改或窃取源代码。

　　2021年 6 月4日，该漏洞的EXP脚本在GitHub上公开，随后攻击者开始利用EXP来滥用有漏洞的ExifTool组件，攻击面向互联网的GitLab服务器，并创建新用户并赋予其管理员权限。攻击者不需要认证或使用CSRF token，甚至不需要有效的HTTP端点来使用该EXP。

　　根据Rapid7发布的报告，在他们发现的 60,000 个面向互联网的 GitLab 中，至少有 50% 没有修复这个RCE 漏洞，具体情况如下：

　　21%的安装已针对此漏洞进行了全面修补。

　　50%的安装未针对此漏洞进行修补。

　　29%的安装可能存在此漏洞，也可能不存在此漏洞。

　　但要修复CVE-2021-22205，管理员至少需要将GitLab CE/EE更新到13.10.3、13.9.6或13.8.8。

　　0x02 风险等级

　　高危。

　　0x03 影响范围

　　Gitlab CE/EE < 13.8.8

　　Gitlab CE/EE < 13.9.6

　　Gitlab CE/EE < 13.10.3

　　0x04 安全建议

　　目前此漏洞已经修复，鉴于该漏洞已被广泛利用，建议受影响的用户立即将Gitlab CE/EE升级更新到最新版本。

　　为了确保GitLab实例不易受到攻击，可以检查它对POST请求的响应，这些请求试图利用ExifTool对image文件的错误处理。修复版本对请求的响应应该是HTTP 404错误形式的拒绝。

　　另外，理想情况下，GitLab不应该是面向Internet 的服务。如果需要从 Internet 访问GitLab，请考虑将其置于VPN之后。

　　启明星辰VSRC已于2021年4月15日发布了此漏洞的安全公告：GitLab 4月远程代码执行漏洞。

　　0x05 参考链接

　　https://about.gitlab.com/releases/2021/04/14/security-release-gitlab-13-10-3-released/

　　https://www.bleepingcomputer.com/news/security/over-30-000-gitlab-servers-still-unpatched-against-critical-bug/

　　https://thehackernews.com/2021/11/alert-hackers-exploiting-gitlab.html