Gitlab ExifTool远程代码执行漏洞（CVE-2021-22205）在野利用风险通告

4月14日，GitLab官方发布安全更新，修复了一个远程代码执行漏洞（CVE-2021-22205），漏洞等级为“严重”，CVSS评分9.9。10月28日，腾讯安全团队注意到互联网上出现该漏洞的在野利用事件，腾讯安全专家建议用户尽快升级修复。

1漏洞描述

在GitLab CE / EE中发现了一个问题，影响从11.9-13.8，13.9-13.9.6，13.10-13.10.3之间的版本。GitLab未正确验证传递到文件解析器的图像文件，该文件导致远程代码执行。

腾讯安全团队注意到，互联网上有安全研究人员公开披露了CVE-2021-22205 Gitlab ExifTool远程命令执行漏洞在野利用事件及其漏洞利用方式，由于 Gitlab 某些端点路径无需授权，攻击者可在无需认证的情况下利用图片上传功能执行任意代码。

腾讯安全专家建议Gitlab用户尽快升级修复该漏洞。

GitLab 是由 GitLab Inc.开发，一款基于 Git 的完全集成的软件开发平台。

2漏洞编号

CVE-2021-22205

3漏洞等级

高危，CVSS评分9.9

漏洞状态：

4受影响的版本

• 11.9 <= GitLab（CE/EE）< 13.8.8
• 13.9 <= GitLab（CE/EE）< 13.9.6
• 13.10 <= GitLab（CE/EE）< 13.10.3

5安全版本

• GitLab（CE/EE） 13.8.8
• GitLab（CE/EE） 13.9.6
• GitLab（CE/EE） 13.10.3

6漏洞修复建议

腾讯安全专家建议受影响的用户将GitLab升级到最新版本。

下载链接：https://about.gitlab.com/update/

7解决方案

腾讯T-Sec漏洞扫描服务已支持检测企业资产是否存在Gitlab ExifTool远程代码执行漏洞（CVE-2021-22205）；

腾讯T-Sec主机安全（云镜）已支持检测企业资产是否存在Gitlab ExifTool远程命令执行漏洞（CVE-2021-22205）；

腾讯T-Sec高级威胁检测系统（NTA，御界）规则库日期2021-10-28之后的版本，已支持检测GitLab ExifTool远程代码执行漏洞攻击(CVE-2021-22205)。

8时间线

2021年4月14日，GitLab官方发布风险通告；

2021年4月15日，腾讯安全发布风险通告；

2021年10月28日，腾讯安全发布在野利用风险通告。

参考链接：

https://about.gitlab.com/releases/2021/04/14/security-release-gitlab-13-10-3-released/