GitLab 六周内第三个满分漏洞：不用登录就能控制服务器，2014 年以来的自建版本都要升级

如果你们公司装了 GitLab，得赶紧升级了。10 月 21 日，GitLab 修复了一个满分 10 分的漏洞：在某些条件下，外人不用登录，就能在服务器上运行任意程序。2014 年的 7.0 版到现在，所有自建版本都受影响，10 月 12 日刚打过补丁的也在内。

这是 GitLab 六周里修的第三个满分漏洞，第一个已经被黑客用来攻击。

GitLab 是管代码的平台，很多公司把它装在自己的服务器上，全部源代码、部署用的密钥、自动打包上线的流程都在里面。服务器被人控制，对方就能翻看所有代码、取走密钥，或者悄悄改代码埋后门。

【六周里的三个满分漏洞】

9 月 10 日，GitLab 修了第一个：不用登录就能读取服务器上的任意文件。安全公司 watchTowr 和 Rapid7 发现有人在用它攻击，watchTowr 说可能泄露密码和密钥。美国网络安全机构 CISA 第二天把它列为“已被利用”，要求联邦机构三天内修好。

后两个满分漏洞都出在正则表达式引擎里。正则表达式是描述文本规律的公式，比如“找出所有 11 位手机号”，GitLab 用 Ruby 语言自带的引擎把这种公式翻译成程序。

研究者 joaxcar 一个月里在这个引擎上找出四个能远程运行程序的漏洞：9 月 23 日修了两个，要先登录，9.9 分；10 月 12 日修了一个，不用登录，10 分；第四个就是这次的，也是 10 分。

前三个只影响 19.2 以后的版本。这次的问题是翻译公式时有个数字超出上限，像里程表跑满一样归零（整数溢出），攻击者能借这个错位把自己的指令塞进服务器。GitLab 每个版本都带着这个引擎，所以十二年的版本都跑不掉。10 月 12 日补到的 19.2.8、19.3.5、19.4.2 也照样中招。

【我要不要管，升到哪个版本】

用 https://t.co/pHDSqth3qT 网站的不用管，官方说已经修好；GitLab 代管的专属版 GitLab Dedicated 也已修复。要动手的是自己装 GitLab 的公司和个人。

19.5 升到 19.5.1，19.4 升到 19.4.3，19.3 升到 19.3.6，19.2 升到 19.2.9，19.1 升到 19.1.9，19.0 升到 19.0.10。18.11 及更老的版本，统一升到 18.11.13。

GitLab 平时只给最近三个月度版本打补丁，这次破例多补了四条老版本线。版本很老的不能一步跳到 18.11.13，要按规定经过几个中间版本，官方工具能算出要停哪几站：https://t.co/lNK54CLb13

19.4.3 和 19.3.6 升级时要改数据库，只有一台服务器的会停机一段时间。多台服务器的可以按官方的零停机流程升级。

【这次的被利用了吗】

GitLab 公告没提。The Hacker News 报道说，GitLab 表示没发现被用于攻击的迹象。CISA 10 月 21 日更新的“已被利用漏洞”目录里也没有它。

“某些条件”具体是什么，官方没说，管理员没法靠检查配置排除自己。官方也没给临时缓解办法，升级是唯一确定有效的做法。GitLab 另外发了两条检测规则，管理员可以用来翻日志，看有没有人试过攻击。

GitLab 公告：https://t.co/geuGmVfq6V

原文：https://t.co/ApZaDOjk2B