社区所有版块导航
Python
python开源   Django   Python   DjangoApp   pycharm  
DATA
docker   Elasticsearch  
aigc
aigc   chatgpt  
WEB开发
linux   MongoDB   Redis   DATABASE   NGINX   其他Web框架   web工具   zookeeper   tornado   NoSql   Bootstrap   js   peewee   Git   bottle   IE   MQ   Jquery  
机器学习
机器学习算法  
Python88.com
反馈   公告   社区推广  
产品
短视频  
印度
印度  
Py学习  »  Git

【漏洞通告】GitLab路径遍历漏洞(CVE-2023-2825)

维他命安全 • 6 月前 • 224 次点击  

一、漏洞概述

CVE   ID

CVE-2023-2825

发现时间

2023-05-24

类    型

路径遍历

等    级

严重

攻击向量

网络

所需权限

攻击复杂度

用户交互

PoC/EXP

未公开

在野利用


GitLab是一个用于仓库管理系统的开源项目,其使用Git作为代码管理工具,可通过Web界面访问公开或私人项目。

5月24日,启明星辰VSRC监测到GitLab官方发布更新公告,修复了GitLab 社区版 (CE)和企业版(EE)中的一个路径遍历漏洞(CVE-2023-2825),其CVSSv3评分为10.0。

该漏洞存在于GitLab CE/EE版本16.0.0中,当嵌套在至少五个组中的公共项目中存在附件时,可在未经身份验证的情况下通过uploads功能遍历读取任意文件,导致敏感信息泄露。


二、影响范围

GitLab CE/EE版本:16.0.0


三、安全措施

3.1 升级版本

目前该漏洞已经修复,受影响用户可升级到以下版本:

GitLab CE/EE版本:>= 16.0.1

下载链接:

https://about.gitlab.com/update/

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁,减少系统漏洞,提升服务器的安全性。

加强系统和网络的访问控制,修改防火墙策略,关闭非必要的应用端口或服务,减少将危险服务(如SSH、RDP等)暴露到公网,减少攻击面。

使用企业级安全产品,提升企业的网络安全性能。

加强系统用户和权限管理,启用多因素认证机制和最小权限原则,用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://about.gitlab.com/releases/2023/05/23/critical-security-release-gitlab-16-0-1-released/

https://nvd.nist.gov/vuln/detail/CVE-2023-2825

Python社区是高质量的Python/Django开发社区
本文地址:http://www.python88.com/topic/155422
 
224 次点击