GitLab 安全漏洞 CVE-2022-2185 如何解决？

本文来自极狐GitLab 官方公众号【极狐GitLab】，原文链接：https://mp.weixin.qq.com/s/z22g7YyOaPSAT9VRhgIRYw。

GitLab 是一个全球知名的一体化 DevOps 平台，很多人都通过私有化部署 GitLab 来进行源代码托管。极狐GitLab ：是 GitLab 在中国的发行版，专门为中国程序员服务。可以一键式部署极狐GitLab。

关联阅读

• 极狐GitLab 定期升级的五大理由

如果您想升级您的GitLab/极狐GitLab，欢迎查看极狐GitLab 安装官网。页面最下方有升级指南以及联系我们的方式。

如果出现问题，可以点击上面的联系我们跟我们进行交流，也可以通过极狐GitLab 官网官网首页右侧悬浮窗的联系方式跟我们进行交流。

更多关于极狐GitLab ：https://gitlab.cn 或者 DevOps 的最佳实践，可以关注文末的极狐GitLab 公众号。

漏洞概述

2022 年 6 月 30 日 GitLab Inc. 官方发布安全更新，披露了 CVE-2022-2185 安全漏洞，授权用户可以导入恶意制作的项目导致远程代码执行。

漏洞详情：CVE-2022-2185
GitLab Inc.官方安全更新补丁：GitLab Critical Security Release: 15.1.1, 15.0.4, and 14.10.5

漏洞 CVE-2022-2185 影响范围

CVE-2022-2185 影响范围从 Gitlab 14.0 开始，影响范围为如下版本：

• 14.0 <= GitLab（CE/EE/JH）< 14.10.5
• 15.0 <= GitLab（CE/EE/JH）< 15.0.4
• 15.1 <= GitLab（CE/EE/JH）< 15.1.1

漏洞出处

Vakzz 通过HackerOne 漏洞赏金计划报告此漏洞。

漏洞问题根因

授权用户可以导入恶意制作的项目来执行远程代码

漏洞问题解决

对于GitLab/极狐GitLab 私有化部署版的用户，通过将原有的GitLab CE/EE/JH升级至极狐GitLab 14.10.5、15.0.4、15.1.1 版本即可修复该漏洞。

使用 Omnibus 安装部署的实例，升级详情可以查看极狐GitLab 安装包安装升级文档。

使用 Docker 安装部署的实例，可使用如下三个容器镜像将产品升级到上述三个版本：

• registry.gitlab.cn/omnibus/gitlab-jh:14.10.5
• registry.gitlab.cn/omnibus/gitlab-jh:15.0.4
• registry.gitlab.cn/omnibus/gitlab-jh:15.1.1

升级详情可以查看极狐GitLab Docker 安装升级文档 。

使用云原生安装的实例，可将使用的 Helm Chart 升级到 5.10.5(对应 14.10.5）、6.0.4（对应 15.0.4）以及 6.1.1（对应 15.1.1）来修复该漏洞。升级详情可以查看 Helm Chart 安装升级文档。

对于SaaS用户（jihulab.com），无需进行任何操作，我们已经升级SaaS以修复该漏洞。

极狐GitLab技术支持

极狐Gitlab技术支持团队对付费客户Gitlab（社区版/专业版）提供全面的技术支持，您可以通过 https://support.gitlab.cn/#/portal/myticket 将问题提交。

学习极狐GitLab 的相关资料：

1. 极狐GitLab 官网：https://gitlab.cn
2. 极狐GitLab 官网文档：https://docs.gitlab.cn
3. 极狐GitLab 论坛：https://forum.gitlab.cn/
4. 极狐GitLab 安装配置：https://gitlab.cn/install
5. 极狐GitLab 资源中心：https://resources.gitlab.cn

---

号外号外！
极狐GitLab 正在推出DevSecOps 成熟度测评！链接：https://gitlab.cn/devsecops-assessment/ 测评非常全面并提供了可靠建议，即使不付费买产品，对自己想要落地 DevSecOps 的用户具有很高的参考意义！快来动手试试吧！