GitLab 存在访问控制错误漏洞（CVE-2022-3758）

原创 于 2023-03-15 15:37:12 发布 · 713 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#gitlab #安全

漏洞描述

GitLab是一个基于Git的源代码管理和协作平台。

该项目受影响版本存在访问控制错误漏洞，由于权限检查不当，远程攻击者能够读取、添加或编辑其他用户的私有代码片段。

漏洞名称GitLab 存在访问控制错误漏洞
漏洞类型访问控制不恰当
发现时间2023/3/10
漏洞影响广度一般
MPS编号MPS-2022-60984
CVE编号CVE-2022-3758
CNVD编号-

影响范围

GitLab@[15.9, 15.9.2)

GitLab@[15.8, 15.8.4)

GitLab@[15.5, 15.7.8)

gitlab@影响所有版本

修复方案

升级GitLab到 15.7.8 、15.8.4 、 15.9.2 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-60984

https://nvd.nist.gov/vuln/detail/CVE-2022-3758

https://github.com/gitlabhq/gitlabhq/commit/df765f1063ef7c9d50f48b9d7cfe6689dc88b1b4#diff-4dc6e2742541910d4cf16010a6a2c03bcab0705d9fe245c3c5325f90ccd379e0

https://gitlab.com/gitlab-org/cves/-/blob/master/2022/CVE-2022-3758.json

https://hackerone.com/reports/1751258

https://gitlab.com/gitlab-org/gitlab/-/issues/379598

关于墨菲安全

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。为客户提供从供应链资产识别管理、风险检测、安全控制、一键修复的完整控制能力。
开源项目：https://github.com/murphysecurity/murphysec/?sf=qbyj

产品可以极低成本的和现有开发流程中的各种工具一键打通，包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等数十种工具无缝集成。
免费代码安全检测工具： https://www.murphysec.com/?sf=qbyj
免费情报订阅： https://www.oscs1024.com/cm/?sf=qbyj

在这里插入图片描述

博客
SHA1HULUD蠕虫再现：超300NPM包被投毒、 2万仓库信息被窃取
12-04 900
2025年11月24日，墨菲安全实验室检测到数小时内NPM仓库中超过300个组件被相同的方式投毒，这些包在NPM仓库中发布的新版本仿冒引入Bun运行时，引入 preinstall: node setup_bun.js，以及混淆的 bun_environment.js 文件。
博客
NPM组件 @capacitor-bmo/biometric 等窃取主机敏感信息
08-26 585
NPM组件@capacitor-bmo/biometric等多个包存在高危投毒漏洞，安装后会窃取主机名、用户名、IP地址并发送至攻击者服务器。影响ember-lts-4.4、gannache、solana-pump-test等50余个组件特定版本，无修复版本。利用成本低、可能性中，建议立即排查卸载受影响包，删除依赖重装，检查系统异常通信及敏感凭证安全，加强依赖管理。
博客
NPM组件 @mz-codes/const 等窃取主机敏感信息
08-21 569
【高危】NPM组件投毒漏洞影响@mz-codes/const等多个包，安装后会窃取主机名、用户名、IP等敏感信息并发送至攻击者服务器。受影响版本多为特定版本（如@mz-codes/const@1.1.3、orion-ui@0.1.0-9.2.2等），目前无最小修复版本。利用成本低，可能性中。建议立即排查并移除恶意包，删除node_modules和package-lock.json后重装依赖，检查系统安全，加强依赖管理，仅用官方源并定期审计。
博客
Google Chrome V8 ＜14.1.58 越界写入漏洞
08-21 839
CVE-2025-9132是Google Chrome V8引擎高危越界写入漏洞，影响V8<14.1.58（对应Chrome<141.0.7355.0）。因V8解析C风格for循环内await using声明时存在逻辑缺陷，生成错误字节码，JIT编译器处理时触发越界内存写入，可破坏内存结构导致浏览器渲染器进程执行任意代码。修复通过修改解析函数，强制将相关变量模式视为常量以确保异步资源释放正确处理。建议升级V8至14.1.58+或Chrome至141.0.7355.0+。
博客
NGINX ngx_mail_smtp_module 内存越界读取漏洞
08-21 1290
【中危】NGINX ngx_mail_smtp_module内存越界读取漏洞（CVE-2025-53859）影响版本[0.7.22, 1.29.1)。启用该模块且smtp_auth设为none时，认证服务器返回Auth-Wait响应会触发认证错误处理缺陷，导致内存越界读取，泄露服务器数据。建议升级至1.29.1及以上版本，或修改smtp_auth为非none方法，禁用不必要的smtp模块。
博客
NPM组件 @angular_devkit/core 等窃取主机敏感信息
08-21 874
【高危】多个NPM组件（如@angular_devkit/core、microsoft-bonsai-api等）存在投毒风险，安装后会窃取主机名、用户名、IP地址等敏感信息并发送至攻击者服务器。影响范围广，涉及Angular开发工具、微软Bonsai API、Solana生态等领域组件。利用成本低，建议立即排查移除受影响包，删除node_modules及package-lock.json后重装依赖，全面检查系统安全，加强依赖管理，避免使用未知来源包。
博客
NPM组件 @amiga-fwk-nodejs/log 等窃取主机敏感信息
08-21 947
【高危】NPM组件投毒漏洞，涉及@amiga-fwk-nodejs/log、rush-plugins等多个包。安装受影响版本后，会窃取主机名、用户名、工作目录、IP等敏感信息并发送至攻击者服务器。利用成本低，影响范围广。建议立即排查并卸载恶意包，删除node_modules和package-lock.json后重装依赖，全面检查系统安全，重置敏感凭证。
博客
Cherry Studio 命令注入漏洞
08-13 524
Cherry Studio存在高危命令注入漏洞（CVE-2025-54074），影响版本[1.2.5, 1.5.2)。该漏洞因MCP服务器认证流程中，redirectToAuthorization函数将未校验的授权端点URL直接传递给open函数，导致恶意URL可触发系统命令执行。修复版本1.5.2通过sanitizeUrl过滤非法协议及危险字符阻断攻击，建议用户升级至1.5.2+，并避免连接不受信任的MCP服务器。
博客
NPM组件 @evt-cdk/codepipeline 等窃取主机敏感信息
08-07 374
NPM组件@evt-cdk/codepipeline等存在高危投毒漏洞，安装后会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。受影响组件包括react-dom-client、adminarmorproject、newrelic-helper-lib等30余个，部分版本无修复方案。漏洞利用成本低，风险等级高。建议立即排查是否安装受影响包，卸载并删除依赖文件，全面检查系统安全，加强依赖管理规范。
博客
Google Chrome ＜139.0.7236.0 UAF漏洞
08-06 1147
Google Chrome及Chromium存在高危UAF漏洞（CVE-2025-8578），影响版本<139.0.7236.0。漏洞因OpenscreenSessionHost::ReportAndLogError方法用std::string_view接收错误消息，异步任务绑定时若传入指向局部std::string的string_view，局部对象销毁后访问释放内存引发UAF。修复版本将参数类型改为std::string，通过所有权转移确保字符串生命周期覆盖异步任务执行。建议升级至139.0.7236.0
博客
Apache OFBiz Scrum 组件命令注入漏洞
08-05 791
Apache OFBiz Scrum组件存在命令注入漏洞（CVE-2025-54466），OFBiz版本<24.09.02受影响。ScrumServices.java中repository和revision参数未经严格校验直接拼接至命令字符串并执行，拥有Scrum模块权限的攻击者可利用此漏洞实现任意命令执行。修复版本24.09.02通过参数格式校验（URL/整数验证）及命令执行参数分离机制（exec(String[])）防御。建议受影响用户升级至安全版本或应用官方补丁。
博客
NPM组件 aiohappyeyeballs 等窃取主机敏感信息
08-03 764
NPM组件aiohappyeyeballs等存在高危投毒漏洞，安装受影响版本（如aiohappyeyeballs [0.1.4, 0.2.5]、node-calculator-yqhi@2.2.0等）会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。利用成本低，可能针对开发环境及网站管理员主机。建议立即排查依赖，移除恶意包，全面检查系统安全（如异常网络连接、敏感凭证），并加强依赖管理（仅用官方源、限制版本范围）。
博客
NPM组件 @usaa-grp-payments-web-experience/bk-acknowledge-module 等窃取主机敏感信息
08-02 619
多个NPM组件（如@usaa-grp-payments-web-experience/bk-acknowledge-module等）被投毒，安装后会窃取主机名、用户名、IP地址等敏感信息并发送至攻击者服务器。影响pixzen、amdocs-auth-package、arkadiko-dao等数十个组件特定版本，利用成本低。建议立即排查并卸载受影响包，删除依赖重装，扫描系统异常，加强依赖管理（如限制版本范围、使用官方源）。
博客
NPM组件 @coolblue-development/next-recently-viewed 等窃取主机敏感信息
08-01 631
【高危】NPM组件投毒漏洞（MPS-qcto-16v8）影响@coolblue-development/next-recently-viewed等多个包，安装后会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。受影响版本包括blockly-test@0.1.0、vscode-kubernetes-tools@1.4.0等，无修复版本。利用成本低，建议立即卸载恶意包，删除node_modules和package-lock.json后重装依赖，全面检查系统安全，加强依赖管理规范。
博客
NPM组件 @azet/api 等窃取主机敏感信息
07-31 722
NPM组件@azet/api等存在高危投毒漏洞，安装受影响版本时会窃取主机名、用户名、工作目录、IP地址等敏感信息并发送至攻击者服务器。影响范围涉及@twork-data-services/*、@moonpig/web-core-*、@azl-react-components/*等多个组件，受影响版本多为[0.99.0, 99.99.0]、172.0.0等。漏洞利用成本低，建议立即排查卸载恶意包，删除node_modules后重装依赖，全面检查系统安全并重置敏感凭证，加强依赖管理规范。
博客
Google Chrome ＜140.0.7297.0 MediaStreamTrackImpl UAF漏洞
07-31 1074
CVE-2025-8292是Google Chrome/Chromium的高危Use-After-Free漏洞，影响版本<140.0.7297.0。漏洞因MediaStreamTrackImpl组件销毁前未清除对音频接收器（SpeechRecognitionMediaStreamAudioSink）的引用所致。修复通过引入Dispose()预清理方法，在对象销毁前主动移除关联引用，消除悬垂指针。建议用户升级至140.0.7297.0及以上版本，临时可禁用语音识别或限制麦克风权限缓解风险。
博客
NPM组件 @0xme5war/apicli 等窃取主机敏感信息
07-30 657
【高危】多款NPM组件存在投毒风险，包括@0xme5war/apicli [1.0.0,2.0.0]、react-native-gainsight-px [1.5.2,1.12.5]等20余款。安装后会窃取主机名、用户名、工作目录、IP等敏感信息，发送至攻击者电报地址（botToken=7699295118:AAF6pb7t718vjHWHwFQlZOastZQYHL8IVDE，chatId=6567865682）。利用成本低，建议立即排查卸载受影响包，删除node_modules及package-lock
博客
NPM组件 @ai0x1337/budoux-extension 等窃取主机敏感信息
07-29 1002
【高危】多款NPM组件（如@ai0x1337/budoux-extension、@cwlib/core等）被投毒，安装后会窃取主机名、用户名、工作目录、IP等敏感信息并发送至攻击者服务器。影响超20个包，含伪装成熟组件（如Sentry工具包）、内部CLI工具等，利用成本低。建议立即排查并卸载受影响包，删除node_modules重装依赖，扫描系统异常，重置敏感凭证，加强依赖管理（限版本范围、用官方源、定期审计）。
博客
Google Chrome V8＜ 13.7.120 沙箱绕过漏洞
07-28 915
Google Chrome V8<13.7.120沙箱绕过漏洞（MPS-id8s-k96g），影响V8<13.7.120、Chrome/Chromium<137.0.7137.0。因JsonParser::MakeString处理长度1的转义字符串时存在二次获取问题，致DecodeString基于过时检查结果写入2字节栈缓冲区，引发栈溢出。修复通过重构DecodeString，引入长度计数器并添加SBXCHECK_GE(length,2)校验防溢出，建议升级至V8 13.7.120+或Chrome 137.
博客
NPM组件 @ctra/utils 等窃取主机敏感信息
07-26 741
【高危】NPM组件投毒漏洞，涉及@ctra/utils等多个包（如openai-fm、airbnb-prod等），安装后会窃取主机名、用户名、工作目录、IP等敏感信息并发送至攻击者服务器。受影响版本无修复版本，利用成本低。建议立即排查并卸载恶意包，删除node_modules和package-lock.json后重装依赖，全面检查系统安全（如异常进程、境外IP通信），加强依赖管理（限版本范围、用官方源、定期审计）。
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值