Gitblit身份验证绕过漏洞(CVE-2024-28080)
💡
原文中文，约1100字，阅读约需3分钟。
📝
内容提要
绿盟科技CERT监测到Gitblit存在身份验证绕过漏洞（CVE-2024-28080），攻击者可利用该漏洞进行SSH登录。受影响版本为Gitblit <= 1.9.3，建议用户尽快升级至1.10.0及以上版本以增强安全性。
🎯
关键要点
- 绿盟科技CERT监测到Gitblit存在身份验证绕过漏洞（CVE-2024-28080）。
- 攻击者可利用该漏洞进行SSH登录，受影响版本为Gitblit <= 1.9.3。
- 建议用户尽快升级至1.10.0及以上版本以增强安全性。
- 漏洞由于SSH服务在公钥认证流程中的缺陷，允许攻击者绕过身份验证。
- CVSS评分为9.2，漏洞细节与PoC已公开。
- Gitblit是一个开源的Java技术栈，用于管理和服务Git仓库。
- 绿盟科技提供外部攻击面管理服务（EASM）支持漏洞风险排查。
- 用户可使用绿盟科技的自动化渗透测试工具（EZ）进行Gitblit的指纹识别排查。
- 官方已发布新版本修复此漏洞，受影响用户应尽快升级。
- 绿盟科技对安全公告的内容不承担任何责任，用户需自行负责使用后果。
❓
延伸问答
Gitblit身份验证绕过漏洞的具体影响是什么？
攻击者可以利用该漏洞进行SSH登录，绕过身份验证流程。
哪些版本的Gitblit受到CVE-2024-28080漏洞的影响？
受影响版本为Gitblit <= 1.9.3。
如何防护Gitblit身份验证绕过漏洞？
建议用户尽快升级至Gitblit 1.10.0及以上版本以增强安全性。
CVE-2024-28080的CVSS评分是多少？
该漏洞的CVSS评分为9.2。
绿盟科技提供了哪些工具来检测Gitblit的漏洞？
绿盟科技提供了自动化渗透测试工具（EZ）用于Gitblit的指纹识别排查。
Gitblit是什么类型的软件？
Gitblit是一个开源的Java技术栈，用于管理和服务Git仓库。
➡️
