标签: Gitlab

GitLab 向报告远程代码执行漏洞的研究员奖励 2 万美元

GitLab 向报告自家平台的严重远程代码执行漏洞的安全研究人员奖励了 2 万美元。该漏洞由 William “vakzz” Bowling 发现,Bowling 既是一名程序员同时也是 Bug 赏金猎人,他于3月23日通过 HackerOne Bug 赏金平台私密披露了该漏洞。 Bowling 表示,GitLab 的 UploadsRewriter 函数用于拷贝文件,而这正是此次严重安全问题的源头。当 issue 被用于跨项目复制时,UploadsRewriter 函数会检查文件名和补丁。然而在这过程中由于没有验证检查,导致出现路径遍历问题,这可能会被利用于复制任何文件。 根据 Bug 赏金猎人的说法,如果漏洞被攻击者利用,则可能会被用于”读取服务器上的任意文件,包括 token、私有数据和配置”。GitLab 实例和 GitLab.com 域均受到该漏洞的影响,此漏洞被 HackerOne 判定为严重等级程度。 Bowling 补充到,通过使用任意文件读取漏洞从 GitLab 的 secret_key_base 服务中抓取信息,可以将该漏洞变成远程代码执行(RCE)攻击。举例来说,如果攻击者改变了自己实例的 secret_key_base 以匹配项目,那么 cookie 服务也可以被操纵以用于触发 RCE 攻击。 Bowling 将漏洞发送给了 GitLab 安全团队,工程师们重现了此问题,并指出攻击者至少需要成为项目成员才能利用该漏洞,但根据 GitLab 高级工程师 Heinrich Lee Yu 的说法,攻击者也可以”创建自己的项目或组别来达到同样的目的”。 目前,该漏洞已经在 GitLab 12.9.1 版本中得到了解决,安全研究人员 Bowling 也于3月27日获得了全额赏金。   (稿源:开源中国,封面源自网络。)

GitLab 在产品中收集用户行为数据,遭遇强烈吐槽撤回

上周 GitLab 给所有用户发送题为《关于服务协议以及用户行为数据收集重要通知》的邮件(详情)。GitLab 希望借此来收集来自 GitLab 产品中的用户使用习惯,以改进产品从而为用户提供更好的产品体验。 GitLab 原计划不会针对所有产品都收集遥测数据。如下图所示,对于社区版和企业版,GitLab 都没有添加收集遥测数据的服务。唯一会收集数据的地方来自 GitLab.com 提供的服务。 但作为独立部署的产品,此举遭到来自社区开发者的强烈抗议。日前,迫于压力,GitLab 再次发布撤回并重新思考关于收集用户行为的措施以及道歉邮件。 GitLab 官方称将不会在产品中激活用户的产品使用行为的分析。同时希望用户根据此行为提供反馈意见。   (稿源:开源中国,封面源自网络。)

开源系统 GitLab 存在高危漏洞,用户私有令牌或遭会话劫持

据外媒 近日报道,数据安全公司 Imperva 研究人员丹尼尔·斯瓦特曼(Daniel Svartman)今年 5 月发现开源系统 GitLab 存在一处高危漏洞,能够允许攻击者通过会话劫持窃取用户私有令牌。 直至本周三,GitLab 官方才确认已彻底解决这一问题。 研究人员指出,如果攻击者通过该漏洞成功破解某一帐户,那么他们极有可能获取账户管理权限、转储恶意代码并通过会话劫持窃取用户敏感信息等操作。此外,攻击者还可在执行代码更新时将任何恶意程序嵌入其中。与此同时,由于 GitLab 使用的永久性私有会话令牌永远不会过期,因此当攻击者获取该令牌后受害账户随时可能遭受入侵。另外,值得注意的是,该令牌仅由 20 个字符组成,这使目标账户遭受暴力攻击的几率显著增加。 研究人员表示尚不清楚该漏洞已出现多久,而 GitLab 方面则澄清截止目前并没有用户遭受恶意攻击的案例。GitLab 安全主管 Brian Neel 强调:“ GitLab 现使用的私有令牌只能在与跨站点脚本或其他漏洞相结合时,才会对用户构成威胁。对此,GitLab 官方正积极采取更安全的措施以避免账户会话数据泄露 ”。 原作者:Chris Brook,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

Gitlab.com 误删 300 G 数据、五重备份失效已宕机 10 小时

GitLab.com 官方网站发布声明称由于其产品数据库问题导致的网站无法正常访问。据国外媒体报道称 Gitlab 网站疲惫的系统管理员深夜在进行数据库维护时,使用 rm -rf 删了 300GB 生产环境数据。等到清醒过来紧急按下 ctrl + c (强制中断程序的执行),只有 4.5GB 保留下来。然后恢复备份失败,网站已经宕了 10 个小时。 目前可以确认的是 Gitlab 的数据备份是无效的。报告称此次数据丢失并非仓库的数据,而是仓库相关的 issue 以及合并请求操作。 GitLab.com 号称有五重备份机制:常规备份( 24 小时做一次)、自动同步、LVM 快照( 24 小时做一次)、Azure 备份(只对 NFS 启用,对数据库无效)、S3 备份。这次事故发生时,所有备份全部无效!为了纪念这个事件,已经有人提议,将 2 月 1 日定为“世界备份日” 消息来源:oschina ,封面来源:百度搜索 ** 据 HackerNews.cc  2日 1:00 最新消息,GitLab 数据库成功已恢复事故前6 小时的最新备份。