資訊專欄INFORMATION COLUMN
摘要：發(fā)布的分析寫道。盡管補(bǔ)丁已經(jīng)公開發(fā)布了個(gè)多月，但在個(gè)面向互聯(lián)網(wǎng)的安裝中的安裝已經(jīng)針對(duì)這個(gè)問題打了完整的補(bǔ)丁。的安裝可能存在或不存在漏洞。此外，理想情況下，不應(yīng)該是面向的服務(wù)。
盡管該漏洞最初被認(rèn)為是經(jīng)過身份驗(yàn)證的RCE 案例并分配了9.9的CVSS評(píng)分，但由于未經(jīng)身份驗(yàn)證的威脅行為者也可能觸發(fā)該漏洞，因此嚴(yán)重性評(píng)級(jí)在2021年9月21日修訂為10.0。
該漏洞存在于ExifTool中，ExifTool是一個(gè)用于從圖像中刪除元數(shù)據(jù)的開源工具，它無法解析嵌入在上傳圖像中的某些元數(shù)據(jù)，導(dǎo)致如下所述的代碼執(zhí)行。HN Security發(fā)布的分析寫道。
盡管補(bǔ)丁已經(jīng)公開發(fā)布了6個(gè)多月，但在60,000個(gè)面向互聯(lián)網(wǎng)的GitLab安裝中：
21%的安裝已經(jīng)針對(duì)這個(gè)問題打了完整的補(bǔ)丁。
50%的安裝沒有針對(duì)這個(gè)問題打補(bǔ)丁。
29%的安裝可能存在或不存在漏洞。
建議GitLab用戶立即更新安裝。
此外，理想情況下，GitLab不應(yīng)該是面向Internet的服務(wù)。如果需要從Internet訪問GitLab，建議將其置于VPN之后。
GitLab作為一個(gè)開源分布式版本控制系統(tǒng)，可以用來管理項(xiàng)目源代碼、版本控制、代碼復(fù)用與查找。從項(xiàng)目計(jì)劃和源代碼管理到CI/CD和監(jiān)控，GitLab可以在整個(gè)DevOps生命周期中發(fā)揮作用。隨著DevsecOps概念的提出和發(fā)展，安全問題已貫穿整個(gè)開發(fā)周期當(dāng)中。GitLab中的安全漏洞問題不但影響產(chǎn)品本身的安全性，而且在開發(fā)中很可能為應(yīng)用程序帶來安全問題。
網(wǎng)絡(luò)安全事件層出不窮，美國國家標(biāo)準(zhǔn)與技術(shù)局(NIST)、國家漏洞數(shù)據(jù)庫(NVD)數(shù)據(jù)顯示：90%以上的網(wǎng)絡(luò)安全問題是由軟件自身的安全漏洞被利用導(dǎo)致的!針對(duì)軟件中的安全漏洞，在開發(fā)期間通過安全可信的靜態(tài)代碼檢測(cè)工具，可以及時(shí)發(fā)現(xiàn)代碼缺陷及潛在的安全漏洞，利于開發(fā)人員第一時(shí)間修正安全問題，提高軟件自身安全性。
參讀鏈接：
securityaffairs.co/wordpress/1…
thehackernews.com/2021/11/ale…
文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請(qǐng)注明本文地址：http://systransis.cn/yun/122872.html
摘要：網(wǎng)絡(luò)管理系統(tǒng)需要廣泛的信任和對(duì)網(wǎng)絡(luò)組件的訪問，以便正確監(jiān)控網(wǎng)絡(luò)行為和性能是否出現(xiàn)故障和效率低下，稱。今年月早些時(shí)候，披露了網(wǎng)絡(luò)監(jiān)控應(yīng)用程序中的個(gè)安全漏洞，這些漏洞可能被攻擊者濫用，在沒有任何運(yùn)營商干預(yù)的情況下劫持基礎(chǔ)設(shè)施。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:15px...
摘要：到目前為止，沒有證據(jù)表明該漏洞已在現(xiàn)實(shí)世界的攻擊中被濫用，據(jù)月日的可靠披露，該問題已經(jīng)在年月日發(fā)布的版本中得到了解決。函數(shù)用于解析消息，以接收來自集群中其他節(jié)點(diǎn)的密鑰，以便解密來自它們的任何進(jìn)一步消息，內(nèi)核維護(hù)人員在上個(gè)月發(fā)布的補(bǔ)丁中說。 到目前為止，沒有證據(jù)表明該漏洞已在現(xiàn)實(shí)世界的攻擊中被濫用，據(jù)10月19日的可靠披露，該問題已經(jīng)在2021年10月31日發(fā)布的Linux Kernel...
摘要：表示，已在野外漏洞利用中檢測(cè)到。在一份獨(dú)立報(bào)告中，警告說，這是一個(gè)重點(diǎn)問題，它注意到這個(gè)漏洞被利用的跡象。該公司表示此漏洞允許攻擊者通過發(fā)送特制請(qǐng)求，通過端點(diǎn)獲得對(duì)產(chǎn)品的未經(jīng)授權(quán)訪問。這將允許攻擊者進(jìn)行后續(xù)攻擊從而導(dǎo)致。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:1...
摘要：在我們向廠商提交漏洞，發(fā)布了相關(guān)的漏洞分析文章后，由于內(nèi)聯(lián)函數(shù)導(dǎo)致的類似安全問題在其他的應(yīng)用程序中陸續(xù)曝出。淺析的函數(shù)自帶了一個(gè)內(nèi)聯(lián)函數(shù)用于在應(yīng)用程序中發(fā)送電子郵件。 前言 在我們 挖掘PHP應(yīng)用程序漏洞 的過程中，我們向著名的Webmail服務(wù)提供商 Roundcube 提交了一個(gè)遠(yuǎn)程命令執(zhí)行漏洞（ CVE-2016-9920 ）。該漏洞允許攻擊者通過利用Roundcube接口發(fā)送一...
閱讀 2706·2021-11-08 13:16
閱讀 2382·2021-10-18 13:30
閱讀 2254·2021-09-27 13:35
閱讀 2009·2019-08-30 15:55
閱讀 2457·2019-08-30 13:22
閱讀 597·2019-08-30 11:24
閱讀 2090·2019-08-29 12:33
閱讀 1824·2019-08-26 12:10
