尊敬的腾讯云用户，您好！

腾讯云安全运营中心监测到， 互联网上出现对Gitlab远程代码执行漏洞（CVE-2021-22205）的在野利用事件。Gitlab 官方已于2021年4月14日发布安全更新，修复了其GitLab CE/EE 11.9-13.8，13.9-13.9.6，13.10-13.10.3之间的版本存在的该漏洞。

为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。

漏洞详情

Gitlab是一款基于Git的完全集成的软件开发平台。

该漏洞由exiftool模块导致，攻击者通过上传恶意图片可触发远程命令执行，控制服务器。
新披露出的在野利用方式，由于 Gitlab 某些端点路径无需授权，攻击者可在无需认证的情况下利用图片上传功能执行任意代码。

风险等级

高风险

漏洞风险

攻击者利用该漏洞可导致远程代码执行

影响版本

GitLab（CE/EE）<= 11.9，< 13.8.8
GitLab（CE/EE）<= 13.9，< 13.9.6
GitLab（CE/EE）<= 13.10，< 13.10.3

安全版本

GitLab（CE/EE） 13.8.8
GitLab（CE/EE） 13.9.6
GitLab（CE/EE） 13.10.3

修复建议

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，酌情升级至安全版本

【备注】：建议您在升级前做好数据备份工作，避免出现意外

漏洞参考

https://about.gitlab.com/releases/2021/04/14/security-release-gitlab-13-10-3-released/