Gitlab多个安全漏洞风险通告
发布时间 2019-12-11漏洞编号和级别
CVE编号：CVE-2019-19604，危险级别：高危，CVSS分值：官方未评定
CVE编号：CVE-2019-19628，危险级别：高危，CVSS分值：官方未评定
CVE编号：CVE-2019-19629，危险级别：高危，CVSS分值：官方未评定
影响版本
所有的GitLabOmnibus版本
GitLab EE 11.3 及更高的版本
GitLab EE 10.5 及更高的版本
漏洞概述
Gitlab是一个用于仓库管理系统的开源项目，使用Git作为代码管理工具，并在此基础上搭建起来的Web服务。
CVE-2019-19604
git子模块更新操作可以导致执行.gitmodules文件中定义的任意shell命令。
CVE-2019-19628
由于Maven包注册表的参数处理问题，可能会导致权限提升和某些条件下的远程代码执行漏洞。
CVE-2019-19629
当将公共项目转移到私有组时，私有代码将通过Elasticsearch集成提供的GroupSearch API获取。
漏洞验证
EXP:CVE-2019-19604
https://gitlab.com/gitlab-com/gl-security/disclosures/blob/master/003_git_submodule/advisory.md；
CVE-2019-19628，CVE-2019-19628
暂无EXP/POC。
修复建议
上述受影响版本的安装尽快升级到最新版本。如需更新，请到官网下载：https://about.gitlab.com/update；
GitLab关键安全版本：12.5.4、12.4.6和12.3.9；
更新Git依赖关系到2.22.2；
如果无法升级，请考虑禁用Elasticearch。
参考链接
https://about.gitlab.com/blog/2019/12/10/critical-security-release-gitlab-12-5-4-released/
京公网安备11010802024551号