【漏洞预警】GitLab 曝出远程代码执行漏洞

2022-07-01 503

OSCS(开源软件供应链安全社区)致力于让每一个开源项目变的更安全，也帮助每一个开发者更安全的使用开源代码。

漏洞概述

2022年7月1日，OSCS 监测到 GitLab 曝出远程代码执行漏洞。该漏洞等级较为严重，CVE编号为 CVE-2022-2185。

GitLab 中授权用户可以导入恶意制作的项目导致远程代码执行，攻击者可利用该漏洞执行任意远程代码，OSCS 建议各位开发者关注漏洞风险。

GitLab 是美国 GitLab 公司的一款使用 Ruby on Rails 开发的、自托管的、Git（版本控制系统）项目仓库应用程序，开发者可通过 Web 界面访问公开或私人项目。

漏洞评级：严重

影响项目：GitLab

影响广度：广

影响版本：

组件	影响版本	安全版本
GitLab CE/EE 14.0版本	< 14.10.5	14.10.5
GitLab CE/EE 15.0版本	< 15.0.4	15.0.4
GitLab CE/EE 15.1版本	< 15.1.1	15.1.1

排查方式：获取 GitLab 版本，判断其版本在 [14.0, 14.10.5)、[15.0, 15.0.4)、[15.1, 15.1.1)范围中

更多漏洞详细信息可进入 OSCS 社区查看：

https://www.oscs1024.com/hd/MPS-2022-19679/

处置建议

根据影响版本中的信息，排查并升级到安全版本。

参考链接

https://www.oscs1024.com/hd/MPS-2022-19679/https://about.gitlab.com/releases/2022/06/30/critical-security-release-gitlab-15-1-1-released/

微信关注我们

原文链接：https://www.oschina.net/news/201470

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

JetBrains 宣布涨价

JetBrains 宣布将提高多款产品的价格，包含 IDE、.NET 工具和 All Products Pack，并将于 2022 年 10 月 1 日生效。在新价格生效前，用户仍按当前价格预付订阅。公告称，调价实属无奈之举，未来将一如既往尽全力避免涨价，正如当初施行订阅价格的初衷。我们为新老客户调整了预付订阅的长度限制。通过预付款，您可以按当前价格进行超过一年的续订。现在，个人订阅允许最多至三年，企业订阅最多至两年。重要提示：请留意如果您选择在此期间续费，您的新订阅到期日将从续订日算起，且价格将结合您当前订阅的剩余时间相应调整。也就是说，如果您今天续订 2 年，但当前您的有效订阅还有 3 个月剩余，那么您需要支付的续订价格将是从 2 年的订阅价格中扣除剩余 3 个月之后的金额。同时，您的订阅将在 2 年后到期。价格调整前后对比：官方公告

2022-07-01

423

Elasticsearch 是一个基于 Lucene 库的搜索引擎。它提供了一个分布式、支持多租户的全文搜索引擎，具有 HTTP Web 接口和无模式 JSON 文档。Elasticsearch 基于 Java 开发，并在 SSPL + Elastic License 双重授权许可下作为开源软件发布。 Elasticsearch 8.3.1 现已发布，该版本更新内容如下： Bug 修复 Audit 支持删除审计日志的 ignore 过滤器 #87675（问题：#68588） Ingest 不忽略批量 API 中的 upserts 管道 #87719（问题：#87131） Geoip 处理器应遵守 ignore_missing 缺少数据库的情况 #87793（问题：#87345） Machine Learning 提高经过训练的模型统计 API 性能 #87978 Snapshot/Restore 使用提供的 SAS 令牌，不使用可能产生无效签名的 SDK #88155（问题：#88140） Stats 在管理池上运行 TransportClusterInfoActions#87679 ...

2022-07-02

428

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。