KnowSafe 安全预警：Gitlab OmniAuth 账号劫持漏洞（CVE-2022-1162）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-1162 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

GitLab 是一个用于代码仓库管理系统的开源项目，使用Git作为代码管理工具，并在此基础上搭建起来的Web服务。

据官方描述，系统会默认给使用了 OmniAuth 程序（例如 OAuth、LDAP、SAML）注册的帐户设置一个硬编码密码，从而允许攻击者可直接通过该硬编码密码登录并接管帐户。

受影响版本：

Gitlab CE/EE >=14.7, <14.7.7

Gitlab CE/EE >=14.8, <14.8.5

Gitlab CE/EE >=14.9, <14.9.2

应用：gitlab gitlab（影响面 Up to (excluding) 14.7.7）

应用：gitlab gitlab（影响面 Up to (excluding) 14.8.5）

应用：gitlab gitlab（影响面 Up to (excluding) 14.9.2）

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

http://about.gitlab.com/releases/2022/03/31/critical-security-release-gitlab-14-9-2-released/

建议使用安全版本：

Gitlab CE/EE >=14.7.7

Gitlab CE/EE >=14.8.5

Gitlab CE/EE >=14.9.2

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。