关于GitLab远程代码执行漏洞（CVE-2022-2992）的预警提示

发布时间：2022-09-07浏览次数：1948

一、漏洞详情 GitLab是由GitLab Inc.开发，一款基于Git的完全集成的软件开发平台，且具有wiki和issue跟踪功能。使用Git作为代码管理工具，并在此基础上搭建起来的web服务。 GitLab发布安全公告，修复了GitLab社区版（CE）和企业版（EE）中的一个远程代码执行漏洞（CVE-2022-2992），允许经过身份验证的用户通过GitHub 导入功能远程执行代码。 此外，GitLab还修复了CE/EE 中的一个跨站脚本漏洞（CVE-2022-2865）和一个注入漏洞（CVE-2022-2527），前者可能通过设置标签颜色功能导致存储型XSS，后者可能通过事件时间线描述进行内容注入。 建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。 二、影响范围 CVE-2022-2992： 11.10 <= GitLab CE/EE < 15.1.6 15.2 <= GitLab CE/EE < 15.2.4 15.3 <= GitLab CE/EE < 15.3.2 CVE-2022-2865： GitLab CE/EE < 15.1.6 15.2 <= GitLab CE/EE < 15.2.4 15.3 <= GitLab CE/EE < 15.3.2 CVE-2022-2527： 10.0 <= GitLab CE/EE < 15.1.6 15.2 <= GitLab CE/EE < 15.2.4 15.3 <= GitLab CE/EE < 15.3.2 三、修复建议 目前这些漏洞已经修复，受影响用户可升级到GitLab 15.3.2、15.2.4 、15.1.6或更高版本。 下载链接：https://about.gitlab.com/update/ 缓解措施 针对CVE-2022-2992（或CVE-2022-2884），可以通过禁用GitHub导入来缓解。使用管理员账户登录到GitLab安装并执行以下操作： 1.点击“菜单”->“管理”。 2.点击“设置”->“常规”。 3.展开“可见性和访问控制”选项卡。 4.在“导入源”下禁用“GitHub”选项。 5.点击“保存更改”。 验证： 1.在浏览器窗口中，以任何用户身份登录。 2.点击顶部栏上的“+”。 3.点击“新建项目/存储库”。 4.点击“导入项目”。 5.确认“GitHub”没有作为导入选项出现。