社区所有版块导航
Python
python开源   Django   Python   DjangoApp   pycharm  
DATA
docker   Elasticsearch  
aigc
aigc   chatgpt  
WEB开发
linux   MongoDB   Redis   DATABASE   NGINX   其他Web框架   web工具   zookeeper   tornado   NoSql   Bootstrap   js   peewee   Git   bottle   IE   MQ   Jquery  
机器学习
机器学习算法  
Python88.com
反馈   公告   社区推广  
产品
短视频  
印度
印度  
Py学习  »  Git

CVE-2023-2825:GitLab 目录遍历漏洞通告

三六零CERT • 11 月前 • 163 次点击  


赶紧点击上方话题进行订阅吧!

报告编号:CERT-R-2023-179

报告来源:360CERT

报告作者:360CERT

更新日期:2023-05-24


1
 漏洞简述



2023年05月24日,360CERT监测发现GitLab发布了CE的风险通告,漏洞编号为CVE-2023-2825,漏洞等级:严重,漏洞评分:10

GitLab 是一个用于仓库管理系统的开源项目,使用 Git 作为代码管理工具,可通过 Web 界面访问公开或私人项目。

对此,360CERT建议广大用户及时请做好资产自查以及预防工作,以免遭受黑客攻击。


2
 风险等级



360CERT对该漏洞的评定结果如下

评定方式等级
威胁等级严重
影响面广泛
攻击者价值
利用难度
360CERT评分10

3
 漏洞详情



CVE-2023-2825 任意文件读取/下载漏洞

组件: GitLab:CE, GitLab:EE

漏洞类型: 目录穿越

实际影响: 任意文件读取/下载

主要影响: 敏感数据窃取

简述: 该漏洞存在于GitLab中,是一个目录遍历漏洞。当嵌套在至少五个组中的公共项目中存在附件时,未经身份验证的攻击者可以利用该漏洞读取服务器上的任意文件。


4
 影响版本



CVE-2023-2825

组件影响版本安全版本
GitLab:CE16.0.016.0.1
GitLab:EE16.0.016.0.1

5
 修复建议



通用修补建议

根据影响版本 中的信息,排查并升级到安全版本,或直接访问参考链接获取官方更新指南。


6
 产品侧解决方案



若想了解更多产品信息或有相关业务需求,可移步至http://360.net。

360城市级网络安全监测服务

360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn),通过资产测绘技术的方式,对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。

360威胁情报平台(TIP)

360威胁情报平台(TIP)一款构建全面情报管理、赋能、评价、分享能力的新一代本地化情报平台。可以用来增强对关键威胁的检测;可以自动化识别报警中的重点事件;还可以提供情报分析、外部攻击面管理、行业威胁情报等高阶能力,帮助组织全面应对数字时代的安全风险。

360安全分析响应平台

360安全大脑的安全分析响应平台通过网络流量检测、多传感器数据融合关联分析手段,对该类漏洞的利用进行实时检测和阻断,请用户联系相关产品区域负责人获取对应产品。

360终端安全管理系统

360终端安全管理系统在360安全大脑极智赋能下,以云计算、大数据、人工智能等新技术为支撑,是面向企业级客户提供端点安全(EPP)、主机安全(CDR\CWPP)、高级威胁检测与响应(EDR)等各类能力和功能的同一平台管理产品。

创新领先的场景化管理方式,对勒索防护、挖矿防护、HW对抗、重大事件保障、APT防护、等保合规、数据安全防护等场景实现高效的终端安全运营管理。


7
 时间线



2023年05月23日 Gitlab官方发布通告

2023年05月24日 360CERT发布通告


8
 参考链接



1、 https://about.gitlab.com/releases/2023/05/23/critical-security-release-gitlab-16-0-1-released/


9
 特制报告相关说明



一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT推出了安全通告特制版报告订阅服务,以便用户做资料留存、传阅研究与查询验证。

今后特制报告将不再提供公开下载,用户可扫描下方二维码进行服务订阅。


360CERT

https://cert.360.cn/

进入官网查看更多资讯

长按扫码关注我们


点击在看,进行分享

Python社区是高质量的Python/Django开发社区
本文地址:http://www.python88.com/topic/155495
 
163 次点击