GitLab EE和CE 信息泄露误差危害通告

宣布时间 2020-01-14

误差编号和级别


CVE编号：CVE-2020-6832，危险级别：严重，CVSS分值：官方未评定


影响版本


GitLab EE 8.9.0 及之后版本


误差概述


GitLab是美国GitLab公司的一款使用Ruby on Rails开发的、自托管的、Git（版本控制系统）项目客栈应用程序。该程序可用于查阅项目的文件内容、提交历史、Bug列表等。


GitLab官方宣布了一则主要版本更新的清静通告，修复了一个可能导致私有项目信息泄露的误差。在使用GitLab的项目导入功效时，使用该误差可从私有项目中获取到敏感信息。


相关用户可通过版本检测的要领判断目今应用是否保存危害。使用如下下令可审查目今GitLab的版本：cat /opt/gitlab/embedded/service/gitlab-rails/VERSION，若目今版本在受影响规模内，则可能保存清静危害。


误差验证


暂无POC/EXP。


修复建议


现在官方已在最新版本中修复了该误差，用户可通过版本升级举行防护。GitLab下载和装置要领请参考链接：https://about.gitlab.com/update/。


参考链接


https://about.gitlab.com/releases/2020/01/13/critical-security-release-gitlab-12-dot-6-dot-4-released/