GitLab 是一个利用 Ruby on Rails 开发的开源应用程序，用于自托管的 Git 项目仓库。该漏洞源于程序在处理用户提供的文档时没有正确检查符号链接（软连接），导致目录遍历漏洞。攻击者可以利用该漏洞读取任意文件的内容。

GitLab是一套利用Ruby on Rails开发的开源应用程序，可实现一个自托管的Git（版本控制系统）项目仓库，它拥有与Github类似的功能，可查阅项目的文件内容、提交历史、Bug列表等。 GitLab中的‘import/export project’功能中存在目录遍历漏洞，该漏洞源于程序没有正确检查用户提供文档中的符号链接。攻击者可利用该漏洞检索任意文件的内容。以下版本受到影响：GitLab CE和EE 8.13.0至8.13.2版本，8.12.0至8.12.7版本，8.11.0至8.11.10
—内容来自中国国家信息安全漏洞库 CNNVD

受影响版本

GitLab CE和EE 8.13.0至8.13.2版本，8.12.0至8.12.7版本，8.11.0至8.11.10

环境搭建

下载镜像包后加载本地 tar 镜像包。
启动容器：

dockercompose up-d

然后验证容器状态：

# 查看所有 GitLab 容器dockerps|grepgitlab​# 查看端口映射dockerps--format"table {{.Names}}\t{{.Ports}}"

复现

注册进来就行。
点击新建一个项目后，点击GitLab export：


将test.tar.gz上传，将会读取到/etc/passwd文件内容：

这里的test.tar.gz值得解释一下。

里面有五个文件，其中._VERSION/._project.bundle是macOSAppleDouble 资源分叉文件，由 macOS 自动生成，包含文件扩展属性（如隔离标记com.apple.quarantine），在 Linux/Windows 上无实际用途。另外VERSION是版本号。project.bundle是一个Git Bundle（v2 格式），包含一条真实提交记录。
关键在于project.json，这是一个软链接，指向系统敏感文件/etc/passwd。
其内容为：

project.json ->/etc/passwd

这是一个经典的Symlink Attack（符号链接攻击）/ Zip Slip变种：

攻击流程： 1. 受害应用接受 tar.gz 上传 ↓ 2. 服务端解压 test_tar.gz ↓ 3. project.json 被还原为指向 /etc/passwd 的符号链接 ↓ 4. 应用读取 project.json（本意是读 JSON 配置） ↓ 5. 实际读取的是 /etc/passwd → 敏感信息泄露

参考资料

• https://hackerone.com/reports/178152