CVE-2021-22205

IMMEDIATE ACTIONS:

1. Identify all GitLab instances in your environment (Community and Enterprise Editions)

2. Disable image upload functionality immediately if patching cannot be completed within 24 hours

3. Review GitLab access logs for suspicious image upload activities and ExifTool errors

4. Isolate affected GitLab servers from production networks if unpatched



PATCHING GUIDANCE:

1. Upgrade to GitLab 13.10.3, 13.11.4, 13.12.1 or later versions

2. Apply patches immediately as exploit code is publicly available

3. Test patches in non-production environment first

4. Coordinate patching with development teams to minimize CI/CD pipeline disruption



COMPENSATING CONTROLS (if immediate patching not possible):

1. Implement network segmentation to restrict GitLab access to authorized users only

2. Disable Workhorse image processing functionality via configuration

3. Implement Web Application Firewall (WAF) rules to block suspicious image uploads

4. Monitor ExifTool process execution for anomalies



DETECTION RULES:

1. Monitor for ExifTool process spawning unexpected child processes

2. Alert on image upload requests with suspicious file extensions or polyglot files

3. Track failed ExifTool operations and parsing errors in logs

4. Monitor for outbound connections from GitLab Workhorse processes

5. Implement YARA rules to detect malicious image payloads

الإجراءات الفورية:

1. تحديد جميع نسخ GitLab في بيئتك (الإصدارات المجتمعية والمؤسسية)

2. تعطيل وظيفة تحميل الصور فوراً إذا لم يكن بالإمكان إكمال التصحيح خلال 24 ساعة

3. مراجعة سجلات وصول GitLab للأنشطة المريبة لتحميل الصور وأخطاء ExifTool

4. عزل خوادم GitLab المتأثرة عن شبكات الإنتاج إذا لم يتم تصحيحها



إرشادات التصحيح:

1. الترقية إلى GitLab 13.10.3 أو 13.11.4 أو 13.12.1 أو إصدارات أحدث

2. تطبيق التصحيحات فوراً لأن رمز الاستغلال متاح للجمهور

3. اختبار التصحيحات في بيئة غير الإنتاج أولاً

4. تنسيق التصحيح مع فرق التطوير لتقليل تأثر خطوط أنابيب CI/CD



الضوابط البديلة (إذا لم يكن التصحيح الفوري ممكناً):

1. تنفيذ تقسيم الشبكة لتقييد وصول GitLab للمستخدمين المصرح لهم فقط

2. تعطيل وظيفة معالجة صور Workhorse عبر التكوين

3. تنفيذ قواعد جدار حماية تطبيقات الويب (WAF) لحظر تحميلات الصور المريبة

4. مراقبة تنفيذ عملية ExifTool للشذوذ



قواعد الكشف:

1. مراقبة عملية ExifTool التي تولد عمليات فرعية غير متوقعة

2. التنبيه على طلبات تحميل الصور بامتدادات ملفات مريبة أو ملفات متعددة الأغراض

3. تتبع عمليات ExifTool الفاشلة وأخطاء التحليل في السجلات

4. مراقبة الاتصالات الصادرة من عمليات GitLab Workhorse

5. تنفيذ قواعد YARA للكشف عن حمولات الصور الضارة