一、情况分析

近期，GitLab远程命令执行漏洞（CVE-2021-22205）在野利用工具被公开，这意味着黑客可直接利用该攻击代码实施入侵攻击。具体而言，GitLab某些端点的路径存在无需授权风险，攻击者可在无需认证的情况下完成图片上传，并利用该漏洞构造恶意数据执行远程命令，最终造成服务器敏感信息泄露或执行任意命令。该漏洞CVSS3.0评分9.9分，定级为严重漏洞。

二、影响范围

• GitLab（CE/EE）>= 11.9 ，< 13.8.8

• GitLab（CE/EE）>= 13.9 ，< 13.9.6

• GitLab（CE/EE）>= 13.10 ，< 13.10.3

三、处置建议

目前官方已发布 GitLab 的安全修复版本，请及时更新到安全版本：

￮ GitLab（CE/EE）13.8.8

￮ GitLab（CE/EE）13.9.6

￮ GitLab（CE/EE）13.10.3

参考链接：

https://about.gitlab.com/releases/2021/04/14/security-release-gitlab-13-10-3-released/