GitLab EE和CE 信息泄露缝隙风险公告

颁布功夫 2020-01-14

缝隙编号和级别


CVE编号：CVE-2020-6832，危险级别：严沉，CVSS分值：官方未评定


影响版本


GitLab EE 8.9.0 及之后版本


缝隙概述


GitLab是美国GitLab公司的一款使用Ruby on Rails开发的、自托管的、Git（版本节造系统）项目仓库利用法式。该法式可用于查阅项主张文件内容、提交汗青、Bug列表等。


GitLab官方颁布了一则沉要版本更新的安全公告，建复了一个可能导致私有项目信息泄露的缝隙。在使用GitLab的项目导入职能时，利用该缝隙可从私有项目中获取到敏感信息。


有关用户可通过版本检测的步骤判断当前利用是否存在风险。使用如下号令可查看当前GitLab的版本：cat /opt/gitlab/embedded/service/gitlab-rails/VERSION，若当前版本在受影响领域内，则可能存在安全风险。


缝隙验证


暂无POC/EXP。


建复建议


目前官方已在最新版本中建复了该缝隙，用户可通过版本升级进行防护。GitLab下载和装置步骤请参考链接：https://about.gitlab.com/update/。


参考链接


https://about.gitlab.com/releases/2020/01/13/critical-security-release-gitlab-12-dot-6-dot-4-released/