Gitlab多个安全缝隙风险公告

颁布功夫 2019-12-11

缝隙编号和级别


CVE编号：CVE-2019-19604，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-19628，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-19629，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：官方未评定


影响版本


所有的GitLabOmnibus版本

GitLab EE 11.3 及更高的版本

GitLab EE 10.5 及更高的版本


缝隙概述


Gitlab是一个用于仓库治理系统的开源项目，，，，，，，，使用Git作为代码治理工具，，，，，，，，并在此基础上搭建起来的Web服务。。。。。。。。


CVE-2019-19604

git子�？ ？？？？？ ？？楦虏僮髂芄坏贾轮葱�.gitmodules文件中界说的肆意shell号令。。。。。。。。


CVE-2019-19628

由于Maven包注册表的参数处置问题，，，，，，，，可能会导致权限提升和某些前提下的远程代码执行缝隙。。。。。。。。


CVE-2019-19629

当将公共项目转移到私有组时，，，，，，，，私有代码将通过Elasticsearch集成提供的GroupSearch API获取。。。。。。。。


缝隙验证


EXP:CVE-2019-19604

https://gitlab.com/gitlab-com/gl-security/disclosures/blob/master/003_git_submodule/advisory.md；；；；；


CVE-2019-19628，，，，，，，，CVE-2019-19628


暂无EXP/POC。。。。。。。。


建复建议


上述受影响版本的装置尽快升级到最新版本。。。。。。。。如需更新，，，，，，，，请到官网下载：https://about.gitlab.com/update；；；；；

GitLab关键安全版本：12.5.4、12.4.6和12.3.9；；；；；

更新Git依赖关系到2.22.2；；；；；

若是无法升级，，，，，，，，请思考禁用Elasticearch。。。。。。。。


参考链接


https://about.gitlab.com/blog/2019/12/10/critical-security-release-gitlab-12-5-4-released/