GitLab 安全漏洞 CVE-2021-22205 如何解决？

本文来自极狐GitLab 公众号【极狐GitLab】原文链接：https://mp.weixin.qq.com/s/b-ZGfElrdEOcT3Gu2ucL-A。

GitLab 是一个全球知名的一体化 DevOps 平台，很多人都通过私有化部署 GitLab 来进行源代码托管。极狐GitLab 是 GitLab 在中国的发行版，专门为中国程序员服务。可以一键式部署极狐GitLab。

关联阅读

• 极狐GitLab 定期升级的五大理由

如果您想升级您的GitLab/极狐GitLab，欢迎查看极狐GitLab 安装官网。页面最下方有升级指南以及联系我们的方式。

如果出现问题，可以点击上面的联系我们跟我们进行交流，也可以通过极狐GitLab 官网官网首页右侧悬浮窗的联系方式跟我们进行交流。

更多关于极狐GitLab ：https://gitlab.cn 或者 DevOps 的最佳实践，可以关注文末的极狐GitLab 公众号。

漏洞概述

2021年4月14日GitLab官方发布安全更新，披露了CVE-2021-22205 GitLab exiftool远程命令执行漏洞，攻击者通过上传恶意图片可触发远程命令执行，控制服务器。

由于GitLab某些端点路径无需授权，攻击者可在无需认证的情况下完成图片上传，从而执行任意命令。

• 漏洞CVE-2021-22205提交者vakzz：RCE when removing metadata with ExifTool
• GitLab官方更新补丁：GitLab Critical Security Release: 13.10.3, 13.9.6, and 13.8.8
• 漏洞示例：GitLab CE CVE-2021-22205 in the wild

漏洞CVE-2021-22205影响范围

CVE-2021-22205影响范围从GitLab 11.9开始，影响范围为如下版本：

• 11.9 <= GitLab(CE/EE/JH)< 13.8.8
• 13.9 <= GitLab(CE/EE/JH)< 13.9.6
• 13.10 <= GitLab(CE/EE/JH)< 13.10.3

由于GitLab针对该漏洞已更新相关补丁，GitLab(CE/EE/JH)的13.8.8、13.9.6、13.10.3以及13.11以上版本或极狐14.x.x都修复了该问题。(参考GitLab Critical Security Release: 13.10.3, 13.9.6, and 13.8.8)。

注：截止到本文撰写，极狐GitLab的最新发布版本为极狐14.4.0

漏洞出处

该漏洞最初由HackerOne的vakzz反馈问题，该漏洞起始于GitLab(CE/EE)11.9，GitLab未验证图片文件(jpeg/jpg/tiff)的元数据并直接进行文件解析而造成远程命令被执行(参考：RCE when removing metadata with ExifTool)。未经授权的用户可以通过该方法对任意用户进行提权操作(参考：GitLab CE CVE-2021-22205 in the wild)。

漏洞问题查找

极狐GitLab技术支持团队针对漏洞CVE-2021-22205进行了复现并查找到了问题到根因。GitLab Inc.的技术团队也建立相关issue(Gitlab issue: RCE when removing metadata with ExifTool)跟踪该问题的进展情况。

该问题是在GitLab-CE/EE 11.9引入，GitLab使用开源软件ExifTool对图片文件进行处理时未筛查图片文件中是否包含不安全的shell脚本而造成。

我们根据实际的用户使用场景模拟了黑客攻击系统漏洞的方式，并测试利用该系统漏洞可以进行哪些攻击手段：

1. 利用该漏洞执行远程命令，访问操作系统并修改系统文件；
2. 将GitLab的任意用户提升为管理员，并借此访问所有GitLab管理的资料(用户信息、代码仓库以及Uploads)；
3. 以管理员用户身份，修改或删除GitLab的用户数据；
4. 攻击者可以伪装成任意用户执行GitLab API请求。

由于该漏洞的严重级别很高，建议处于漏洞CVE-2021-22205影响范围的客户参考下文中的漏洞问题解决及时进行系统升级。

同时，我们验证了在进行系统升级或者安装系统补丁之后，上述漏洞已被修复。

如果需要了解漏洞CVE-2021-22205的详细信息可以参考GitLab issue: RCE when removing metadata with ExifTool。

漏洞问题解决

目前有2种方式解决CVE-2021-22205漏洞问题：

• GitLab系统升级
• 操作系统升级ExifTool(支持Centos，Debian，Ubuntu)

学习极狐GitLab 的相关资料：

1. 极狐GitLab 官网
2. 极狐GitLab 官网文档
3. 极狐GitLab 论坛
4. 极狐GitLab 安装配置
5. 极狐GitLab 资源中心

搜索【极狐GitLab】公众号，后台输入加群，备注gitlab，即可加入官方微信技术交流群。