Gitpod 远程代码执行漏洞

0x01 漏洞信息

漏洞编号：CVE-2023-0957

漏洞等级：高

披漏时间：2023年3月3日

0x02 漏洞描述

Gitpod存在安全漏洞，该漏洞源于存在一个跨站WebSocket劫持(CSWSH)漏洞，攻击者利用该漏洞可以从工作区中提取数据，从而完全接管工作区。

0x03 漏洞状态

脆弱组件覆盖面	利用门槛	POC工具	EXP工具
广	低	未公开	未公开

0x04 影响版本

0.8.0rc12，0.8.0test5，0.8.0-，0.6.0beta5，0.10.0test1，0.10.0alpha1，0.6.0-，0.8.0beta1，0.8.0rc1，0.9.0alpha2，0.8.0test4，0.9.0-，0.9.0alpha3，0.8.0test3，0.9.0alpha1，0.6.0beta2，0.6.0beta3，0.8.0rc2，0.10.0-

0x05 漏洞排查

用户尽快排查所有应用系统Gitpod应用版本是否在0.8.0rc12，0.8.0test5，0.8.0-，0.6.0beta5，0.10.0test1，0.10.0alpha1，0.6.0-，0.8.0beta1，0.8.0rc1，0.9.0alpha2，0.8.0test4，0.9.0-，0.9.0alpha3，0.8.0test3，0.9.0alpha1，0.6.0beta2，0.6.0beta3，0.8.0rc2，0.10.0-之间。若存在应用使用，极大可能会受到影响。