GitLab EE和CE 信息泄露缝隙风险公告

颁布功夫 2020-01-14

缝隙编号和级别


CVE编号：：CVE-2020-6832，，危险级别：：严重，，CVSS分值：：官方未评定


影响版本


GitLab EE 8.9.0 及之后版本


缝隙概述


GitLab是美国GitLab公司的一款使用Ruby on Rails开发的、自托管的、Git（版本节制系统）项目仓库利用法式。。。该法式可用于查阅项主张文件内容、提交汗青、Bug列表等。。。


GitLab官方颁布了一则重要版本更新的安全公告，，修复了一个可能导致私有项目信息泄露的缝隙。。。在使用GitLab的项目导入职能时，，利用该缝隙可从私有项目中获取到敏感信息。。。


有关用户可通过版本检测的步骤判断当前利用是否存在风险。。。使用如下号令可查看当前GitLab的版本：：cat /opt/gitlab/embedded/service/gitlab-rails/VERSION，，若当前版本在受影响领域内，，则可能存在安全风险。。。


缝隙验证


暂无POC/EXP。。。


修复建议


目前官方已在最新版本中修复了该缝隙，，用户可通过版本升级进行防护。。。GitLab下载和装置步骤请参考链接：：https://about.gitlab.com/update/。。。


参考链接


https://about.gitlab.com/releases/2020/01/13/critical-security-release-gitlab-12-dot-6-dot-4-released/