GitLab代码执行漏洞 (CVE-2023-2478) 安全风险通告-每日视点

您当前的位置：首页 >> 市场行情 > >>

来源: 互联网时间：2023-05-09 04:52:15

Gitlab是目前被广泛使用的基于git的开源代码管理平台, 基于Ruby on Rails构建, 主要针对软件开发过程中产生的代码和文档进行管理，同时可以搭建Web服务。

【资料图】

近日，奇安信CERT监测到GitLab 代码执行漏洞(CVE-2023-2478)，经过身份认证的远程攻击者利用此漏洞可以通过GraphQL端点将恶意Runner 附加到实例上的任何项目上，进一步利用可能造成代码执行或敏感信息泄露。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

漏洞名称	GitLab 代码执行漏洞
公开时间	2023-05-05	更新时间	2023-05-08
CVE编号	CVE-2023-2478	其他编号	QVD-2023-10747
威胁类型	代码执行	技术类型	权限、特权和访问控制不正确
厂商	GitLab	产品	GitLab EE GitLab CE
风险等级
奇安信CERT风险评级		风险等级
高危		蓝色（一般事件）
现时威胁状态
POC状态	EXP状态	在野利用状态	技术细节状态
未发现	未发现	未发现	未发现
漏洞描述	经过身份认证的远程攻击者利用此漏洞可以通过GraphQL端点将恶意Runner 附加到实例上的任何项目上，进一步利用可能造成代码执行或敏感信息泄露。
影响版本	15.4 <= GitLab CE/EE < 15.9.7 15.10 <= GitLab CE/EE 15.10.X < 15.10.6 15.11 <= GitLab CE/EE 15.11.X < 15.11.2
不受影响版本	GitLab CE/EE >= 15.9.7 GitLab CE/EE 15.10.X >= 15.10.6 GitLab CE/EE 15.11.X >= 15.11.2
其他受影响组件	无

威胁评估

漏洞名称	GitLab 代码执行漏洞
CVE编号	CVE-2023-2478	其他编号		QVD-2023-10747
CVSS 3.1评级	高危	CVSS 3.1分数		9.6
CVSS向量	访问途径（AV）		攻击复杂度（AC）
	网络		低
	所需权限（PR）		用户交互（UI）
	低		不需要
	影响范围（S）		机密性影响（C）
	改变		高
	完整性影响（I）		可用性影响（A）
	高		无
危害描述	经过身份认证的远程攻击者利用此漏洞可以通过GraphQL端点将恶意Runner 附加到实例上的任何项目上，进一步利用可能造成代码执行或敏感信息泄露。

处置建议

目前官方已发布安全版本修复该漏洞，建议受影响用户尽快更新至对应的安全版本。

GitLab CE/EE >= 15.9.7

GitLab CE/EE 15.10.X >= 15.10.6

GitLab CE/EE 15.11.X >= 15.11.2

下载地址：https://about.gitlab.com/update/

参考资料

[1]https://about.gitlab.com/releases/2023/05/05/critical-security-release-gitlab-15-11-2-released/

标签：

上一篇：支付宝如何拒绝好友讨红包？禁止支付宝中好友向你讨红包教程

下一篇：最后一页

为您推荐

2023“三品”全国行活动启动将支持企业开展让利促销活动-今日报

工业和信息化部办公厅、商务部办公厅5月8日发布《关于开展2023“三品”全国行活动的通知》(简称“通知”

来源：时间：2023-05-08
天天日报丨东京西新井车站罐头爆炸，日媒：一女性受轻伤

财联社综合日本媒体报道，当地时间8日下午4时（北京时间今天下午3时）左右，东京足立区西新井车站传出爆炸

来源：时间：2023-05-08
吞噬成尊顶点_吞噬成尊每日视点

1、天碑碎裂,魔星出世,天地一片浩劫,谁是应劫之人!上古种族,圣族,神兽种族都拥有开天辟地的力量,你们会的我

来源：时间：2023-05-08
环球资讯：德才股份为德才高科提供不超4000万元担保

5月8日，德才股份(SH605287)发布关于为子公司提供担保的进展公告。公告显示，为满足子公司青岛德才高科新材

来源：时间：2023-05-08
轻信酵素美女成“小黄人”，教授明断还患者以“清白”|环球速看

中新网黑龙江新闻5月8日电(齐魏依)仲女士(化名)是一位很注重养生的漂亮青年女性，三周前，她发现自己身上皮

来源：时间：2023-05-08
驻华使节走进东城感知“故宫以东—文商明珠”发展魅力

新京报讯（记者朱月红）5月7日晚，“故宫以东—文商明珠”驻华使节感知北京东城行在东城区隆福文化中心九层

来源：时间：2023-05-08
天天百事通！农行赤壁市支行金融春雨润泽茶产业

■本报记者曹沛原通讯员叶和平叶立清陈明生对于有着砖茶之乡的赤壁茶农来说，茶叶生产季节性强，施肥、除草

来源：时间：2023-05-08
联邦制药(03933.HK)涨超6%，高见6.95港元创2021年6月以来新高_最新资讯

联邦制药(03933 HK)涨超6%，高见6 95港元创2021年6月以来新高。截至发稿，涨6 77%，报6 94港元，成交额5045 35万港元。

来源：时间：2023-05-08
什么是操作系统?_什么是操作系统

1、操作系统(OperatingSystem，简称OS)是管理计算机系统的全部硬件资源包括软件资源及数据资源；控制程序

来源：时间：2023-05-08
本轮世界杯预选赛荷兰7比0大胜鱼腩直布罗陀-世界热点

本轮世界杯预选赛，荷兰7比0大胜鱼腩直布罗陀，但这场胜利不足以让荷兰大喜，一方面，对手本身实力就太弱，

来源：时间：2023-05-08