网络安全研究人员警告称，GitLab的Web界面中存在一个现已修复的关键远程代码执行 (RCE) 漏洞，编号为CVE-2021-22205，该漏洞已被广泛利用，导致大量面向互联网的GitLab实例容易受到攻击。

该漏洞是用户提供的图像验证不当的问题，可能导致任意代码执行。该漏洞影响11.9以后的所有版本。

GitLab发布的建议中写道：“在GitLab CE/EE中发现了一个问题，影响从11.9开始的所有版本。GitLab没有正确地验证传递给文件解析器的图像文件，导致远程命令执行。并被分配为CVE-2021-22205。这是一个严重的问题(9.9)。在最新版本中得到修复。”

GitLab于2021年4月14日发布了13.8.8、13.9.6和13.10.3版本，解决了该安全漏洞。

该漏洞在野外被积极利用，HN Security的研究人员描述了其客户之一的攻击。

威胁参与者在属于该组织的可公开访问的GitLab服务器上创建了两个具有管理员权限的用户帐户。攻击者利用该漏洞上传恶意负载，导致远程执行任意命令。

尽管该漏洞最初被认为是经过身份验证的RCE 案例并分配了9.9的CVSS评分，但由于未经身份验证的威胁行为者也可能触发该漏洞，因此严重性评级在2021年9月21日修订为10.0。

该漏洞存在于ExifTool中，ExifTool是一个用于从图像中删除元数据的开源工具，它无法解析嵌入在上传图像中的某些元数据，导致如下所述的代码执行。HN Security发布的分析写道。

尽管补丁已经公开发布了6个多月，但在60,000个面向互联网的GitLab安装中：

21%的安装已经针对这个问题打了完整的补丁。

50%的安装没有针对这个问题打补丁。

29%的安装可能存在或不存在漏洞。

建议GitLab用户立即更新安装。

此外，理想情况下，GitLab不应该是面向Internet的服务。如果需要从Internet访问GitLab，建议将其置于VPN之后。

GitLab作为一个开源分布式版本控制系统，可以用来管理项目源代码、版本控制、代码复用与查找。从项目计划和源代码管理到CI/CD和监控，GitLab可以在整个DevOps生命周期中发挥作用。随着DevsecOps概念的提出和发展，安全问题已贯穿整个开发周期当中。GitLab中的安全漏洞问题不但影响产品本身的安全性，而且在开发中很可能为应用程序带来安全问题。

网络安全事件层出不穷，美国国家标准与技术局(NIST)、国家漏洞数据库(NVD)数据显示：90%以上的网络安全问题是由软件自身的安全漏洞被利用导致的!针对软件中的安全漏洞，在开发期间通过安全可信的静态代码检测工具，可以及时发现代码缺陷及潜在的安全漏洞，利于开发人员第一时间修正安全问题，提高软件自身安全性。

参读链接：

https://securityaffairs.co/wordpress/124088/hacking/gitlab-rce.html

https://thehackernews.com/2021/11/alert-hackers-exploiting-gitlab.html

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课