GitLab · Community and Enterprise Editions
CVE-2021-22205
GitLab Community and Enterprise Editions Remote Code Execution Vulnerability
Что это
An issue has been discovered in GitLab CE/EE affecting all versions starting from 11.9. GitLab was not properly validating image files that were passed to a file parser which resulted in a remote command execution.
CISA: GitHub Community and Enterprise Editions that utilize the ability to upload images through GitLab Workhorse are vulnerable to remote code execution. Workhorse passes image file extensions through ExifTool, which improperly validates the image files.
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 17 ноября 2021 г.
- Добавлена в список CISA
- 3 ноября 2021 г.
- Опубликована
- 23 апреля 2021 г.
- Серьёзность
- Критическая 10,0 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- 99,7% в верхних 0,1% всех известных уязвимостей
- Тип слабости
- CWE-20 CWE-95
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (5)
- https://hackerone.com/reports/1154542
- https://gitlab.com/gitlab-org/gitlab/-/issues/327121
- https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22205.json
- http://packetstormsecurity.com/files/164768/GitLab-Unauthenticated-Remote-ExifTool-Command-Injection.html
- http://packetstormsecurity.com/files/164994/GitLab-13.10.2-Remote-Code-Execution.html
Другие эксплуатируемые уязвимости GitLab
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 3 февр. 2026 г. | Server-Side Request Forgery (SSRF) | Community and Enterprise Editions | Средняя 6,8 | 36% |
| 11 сент. 2026 г. | Path Traversal | Community Edition and Enterprise Edition | Критическая 10,0 | 97% |
| 18 февр. 2026 г. | Server-Side Request Forgery (SSRF) | GitLab | Средняя 6,8 | 53% |
| 1 мая 2024 г. | Community and Enterprise Editions Improper Access Control | GitLab CE/EE | Критическая 10,0 | 94% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.