CVE-2022-2992 — 神龙十问 AI 深度分析摘要

🚨 **本质**：GitLab GitHub导入功能的**注入漏洞**。 💥 **后果**：攻击者可实现**远程代码执行 (RCE)**，完全控制服务器。

🔍 **缺陷点**：未对从 **GitHub API** 导入的数据进行充分验证。 📉 **CWE**：数据未提供具体CWE ID，但属于典型的**注入类缺陷**。

📦 **影响范围**： - CE/EE **11.10** 至 **15.1.6** - **15.2.x** (15.2.4 之前) - **15.3.x** (15.3.2 之前) 👉 大量历史版本中招。

🔓 **黑客权限**：**远程代码执行 (RCE)**。 💾 **数据风险**：可读取/篡改所有代码、CI/CD 配置及敏感凭证，权限极高。

🔑 **门槛**：**中等**。 - 需要**身份认证** (Authenticated)。 - 无需用户交互 (UI:N)。 - 攻击向量网络 (AV:N)。

🧪 **PoC**：**有现成代码**。 - GitHub 上已有多个 Exploit 仓库 (如 CsEnox, Malwareman007)。 - 依赖 Ruby/Python/Redis 环境即可复现。

🔎 **自查方法**： 1. 检查 GitLab 版本是否在受影响列表。 2. 监控日志中异常的 **GitHub Import API** 调用。 3. 使用扫描器检测 CVE-2022-2992 特征。

🛡️ **官方修复**：**已修复**。 - 15.1.6, 15.2.4, 15.3.2 及以上版本已修补。 - 参考 GitLab 官方安全公告及 Issue #371884。

⚠️ **临时规避**： - 立即**升级**到安全版本。 - 若无法升级，限制 GitHub 导入功能权限。 - 加强 API 访问控制与监控。

🚨 **优先级**：**极高 (Critical)**。 - CVSS 评分高 (C:H/I:H/A:H)。 - PoC 公开，利用门槛低。 - **建议立即行动！**

更新于 2026-05-06CVSS 9.9 · Critical

本页是神龙十问 AI 深度分析的摘要版。完整版（更长回答、追问、相关漏洞）需登录查看 →

Q1这个漏洞是什么？（本质+后果）

🚨 **本质**：GitLab GitHub导入功能的**注入漏洞**。 💥 **后果**：攻击者可实现**远程代码执行 (RCE)**，完全控制服务器。

🔍 **缺陷点**：未对从 **GitHub API** 导入的数据进行充分验证。 📉 **CWE**：数据未提供具体CWE ID，但属于典型的**注入类缺陷**。

📦 **影响范围**： - CE/EE **11.10** 至 **15.1.6** - **15.2.x** (15.2.4 之前) - **15.3.x** (15.3.2 之前) 👉 大量历史版本中招。

🔓 **黑客权限**：**远程代码执行 (RCE)**。 💾 **数据风险**：可读取/篡改所有代码、CI/CD 配置及敏感凭证，权限极高。

🔑 **门槛**：**中等**。 - 需要**身份认证** (Authenticated)。 - 无需用户交互 (UI:N)。 - 攻击向量网络 (AV:N)。

🧪 **PoC**：**有现成代码**。 - GitHub 上已有多个 Exploit 仓库 (如 CsEnox, Malwareman007)。 - 依赖 Ruby/Python/Redis 环境即可复现。

🔎 **自查方法**： 1. 检查 GitLab 版本是否在受影响列表。 2. 监控日志中异常的 **GitHub Import API** 调用。 3. 使用扫描器检测 CVE-2022-2992 特征。

🛡️ **官方修复**：**已修复**。 - 15.1.6, 15.2.4, 15.3.2 及以上版本已修补。 - 参考 GitLab 官方安全公告及 Issue #371884。

⚠️ **临时规避**： - 立即**升级**到安全版本。 - 若无法升级，限制 GitHub 导入功能权限。 - 加强 API 访问控制与监控。

🚨 **优先级**：**极高 (Critical)**。 - CVSS 评分高 (C:H/I:H/A:H)。 - PoC 公开，利用门槛低。 - **建议立即行动！**