开发者社区> 问答> 正文

【漏洞公告】CVE-2017-0882:GitLab信息泄露高危漏洞

正禾 2017-03-21 18:54:32 3720
GitLab 是一个使用 Ruby on Rails 开发的开源应用程序,实现了一个 Git 仓库管理平台,可通过 Web 界面进行访问公开的或者私有的项目,在企业中得到的广泛的使用。
2017年3月20日,GitLab官方发布了8.17.4、8.16.8和8.15.8版本(社区版和企业版),修复多个高危漏洞,其中包含一个针对关键信息泄露漏洞的更新补丁,针对SSRF攻击的防护,以及针对可导致Atom源中私有邮件地址泄露漏洞的补丁,ElasticSearch中私有库数据泄露的补丁等, 攻击者可以通过这些漏洞来获取相应的用户权限,危害严重。
具体漏洞详情如下:
                    

漏洞编号:
CVE-2017-0882
漏洞名称:
GitLab信息泄露高危漏洞
官方评级:
高危
漏洞描述:
该漏洞可导致拥有向其他用户发送issue或merge请求权限的攻击者获取到该用户的private token, email token, email地址和加密的OTP secret。想要利用漏洞需要有Reporter级别的权限。通过Gitlab API和敏感信息,就能以该用户权限进行操作,如果目标用户是管理员则可能产生更大危害。
造成该漏洞漏洞的原因是对用户对象序列化过程中的一个bug,这个问题自GitLab 8.7.0版本就开始出现。
漏洞利用条件和方式:
黑客可以实现远程利用该漏洞执行代码。  
漏洞影响范围:
  • 8.7.0至8.15.7
  • 8.16.0至8.16.7
  • 8.17.0至8.17.3

漏洞检测与确认:
  1. 打开项目;
  2. 打开项目的issue跟踪器;
  3. 创建一个issue,将issue拥有权限分配给另一个用户;
  4. 查看返回的JSON,检查其中是否有敏感信息。

漏洞修复建议(或缓解措施):
  • 升级 GitLab 至以下相应版本:
8.15.8
8.16.8
8.17.4

  • 由于漏洞的性质,用户的token可能会缓存在代理或浏览器中,升级完毕后,建议所有系统管理员尽快重置所有用户的private token和email token;

提醒:在升级前请做好快照备份。
情报来源:   
  • https://about.gitlab.com/2017/03/20/gitlab-8-dot-17-dot-4-security-release/

阿里云整套安全产品和服务 云盾 集阿里巴巴集团多年来安全技术研究积累的成果,同时结合阿里云计算平台强大的数据分析能力


最热活动:云产品5折起















安全 数据挖掘 API 开发工具 数据安全/隐私保护 云计算 git Ruby
分享到
取消 提交回答
全部回答(0)

集结各类场景实战经验,助你开发运维畅行无忧

推荐文章
相似问题
推荐课程