一.  漏洞概述

当地时间2019年12月10日，GitLab官方发布了重要版本更新的通告，公布了三个GitLab EE（企业版）的高危漏洞。GitLab是一个用于仓库管理系统的开源项目，使用Git作为代码管理工具，并在此基础上搭建起来的web服务。

CVE-2019-19628：由于maven包的注册中心没有做好准确的参数设置，攻击者可在一定条件下实现权限提升和远程代码执行。

CVE-2019-19629：在将公共项目导入私有群组时，Elasticsearch上集成的Group Search API可能导致私有代码泄露。

CVE-2019-19604：用户在使用git submodule update功能时，攻击者利用该漏洞可执行定义在.gitmodules文件中的任意命令。

参考链接：

https://gitlab.com/gitlab-com/gl-security/disclosures/blob/master/003_git_submodule/advisory.md

https://about.gitlab.com/blog/2019/12/10/critical-security-release-gitlab-12-5-4-released/

二、影响范围

CVE-2019-19628：

受影响版本

• GitLab EE 11.3 及更高版本

不受影响版本

• GitLab EE = 12.3.9
• GitLab EE = 12.4.6
• GitLab EE = 12.5.4

CVE-2019-19629：

受影响版本

• GitLab EE 10.5 及更高版本

不受影响版本

• GitLab EE = 12.3.9
• GitLab EE = 12.4.6
• GitLab EE = 12.5.4

CVE-2019-19604：

受影响版本

• Git 2.20.0-2.20.1
• Git 2.21.0
• Git 2.22.0-2.22.1
• Git 2.23.0
• Git 2.24.0
• 所有版本的GitLab Omnibus

不受影响版本

• Git 2.20.2
• Git 2.21.1
• Git 2.22.2
• Git 2.23.1
• Git 2.24.1
• GitLab EE = 12.3.9
• GitLab EE = 12.4.6
• GitLab EE = 12.5.4

三、漏洞检测

相关用户可通过版本检测的方法判断当前应用是否存在风险。

Gitlab：

使用如下命令可查看当前Gitlab的版本：

Git：

使用如下命令可查看当前Gti的版本：

若当前版本在受影响范围内，则可能存在安全风险。

四、漏洞防护

官方升级

目前官方已在最新版本中修复了以上漏洞，用户可通过版本升级进行防护。

Gitlab下载和安装方法请参考链接：

https://about.gitlab.com/update/

Git下载和安装方法请参考链接：

https://git-scm.com/download/