最新文章
Top News
日产 2.1 万车主数据泄露，祸起供应商翻车
HackerNews 编译，转载请注明出处： 日本汽车制造商日产公司披露了一起数据泄露事件，该事件与Red Hat公司使用的自托管 GitLab 实例存在关联。威胁行为者获得了该GitLab实例的访问权限，窃取了2.1万名客户的数据。
Red Hat系统遭入侵
今年 10 月，黑客组织Crimson Collective宣称， Red Hat确认发生数据泄露，但并未证实Crimson Collective黑客组织的相关说法。...
CVE-2024-9693：GitLab 为 Kubernetes 代理发布关键补丁
GitLab 发布了一个关键安全更新，解决了一个可能导致未经授权访问 Kubernetes 集群的高严重性漏洞。社区版（CE）和企业版（EE）的 17.5.2、17.4.4 和 17.3.7 版共修补了六个安全漏洞，包括关键的 Kubernetes 问题和其他几个中等严重性的漏洞。 最严重的漏洞（CVE-2024-9693）允许在特定配置下未经授权访问集群中的 Kubernetes 代理。GitLab 安全公告警告说：“这是一个高严重性问题（CVSS 8.5）。该漏洞是由 GitLab 团队成员 Tiger Watson 在内部发现的。”...
GitLab 高危漏洞（CVE-2024-4835）可让攻击者接管账户
GitLab 修补了一个高严重性漏洞，未经身份验证的攻击者可以利用该漏洞通过跨站点脚本 (XSS) 攻击接管用户帐户。 该安全漏洞（跟踪为CVE-2024-4835）是 VS 代码编辑器（Web IDE）中的一个 XSS 弱点，它允许攻击者使用恶意制作的页面窃取受限信息。 虽然他们可以在不需要身份验证的攻击中利用此漏洞，但仍然需要用户交互，从而增加了攻击的复杂性。...
GitLab 曝出高危漏洞
Bleeping Computer 网站披露，GitLab 发布了 16.0.1 版紧急安全更新，以解决被追踪为 CVE-2023-2825 的严重性（CVSS v3.1 评分：10.0）路径遍历漏洞。 GitLab 是一个基于网络的 Git 存储库，主要面向需要远程管理代码的开发团队，目前共拥有约 3000 万注册用户和 100 万付费客户。...
GitLab 修复了 CE、EE 版本中一个远程代码执行漏洞
GitLabCE/EE 多个版本受到漏洞影响 漏洞是否在野被利用尚不清楚 从媒体披露的信息来看，研究人员 yvvdwf 最早发现了 CVE-2022-2884 漏洞，随后通过 HackerOne 漏洞赏金计划，快速报告了该漏洞。
鉴于一些用户无法立即升级到最新版本，GitLab 运营商提供了一个解决方法。建议用户以 “管理员 ”身份认证后，...
GitLab 通过安全更新修复了帐户接管高危漏洞
据Bleeping Computer网站6月3日消息，GitLab 为其社区版和企业版产品的多个版本发布了关键安全更新，以解决8个漏洞问题，其中一个为账户接管的高危漏洞。 这个帐户接管漏洞被追踪为 CVE-2022-1680，评分高达 9.9，影响 GitLab 11.10 至 14.9.4、14.10 至 14.10.3 和 15.0版本。控制 GitLab 帐户会带来严重后果，黑客可以访问开发人员的项目并窃取源代码。...
GitLab 向报告远程代码执行漏洞的研究员奖励 2 万美元
GitLab 向报告自家平台的严重远程代码执行漏洞的安全研究人员奖励了 2 万美元。该漏洞由 William "vakzz" Bowling 发现，Bowling 既是一名程序员同时也是 Bug 赏金猎人，他于3月23日通过 HackerOne Bug 赏金平台私密披露了该漏洞。 Bowling 表示，GitLab 的 UploadsRewriter 函数用于拷贝文件，而这正是此次严重安全问题的源头。当 issue 被用于跨项目复制时，UploadsRewriter 函数会检查文件名和补丁。然而在这过程中由于没有验证检查，导致出现路径遍历问题，这可能会被利用于复制任何文件。...
GitLab 在产品中收集用户行为数据，遭遇强烈吐槽撤回
上周 GitLab 给所有用户发送题为《关于服务协议以及用户行为数据收集重要通知》的邮件（详情）。GitLab 希望借此来收集来自 GitLab 产品中的用户使用习惯，以改进产品从而为用户提供更好的产品体验。 GitLab 原计划不会针对所有产品都收集遥测数据。如下图所示，对于社区版和企业版，GitLab 都没有添加收集遥测数据的服务。唯一会收集数据的地方来自 GitLab.com 提供的服务。 但作为独立部署的产品，此举遭到来自社区开发者的强烈抗议。日前，迫于压力，GitLab 再次发布撤回并重新思考关于收集用户行为的措施以及道歉邮件。...
开源系统 GitLab 存在高危漏洞，用户私有令牌或遭会话劫持
据外媒 近日报道，数据安全公司 Imperva 研究人员丹尼尔·斯瓦特曼（Daniel Svartman）今年 5 月发现开源系统 GitLab 存在一处高危漏洞，能够允许攻击者通过会话劫持窃取用户私有令牌。 直至本周三，GitLab 官方才确认已彻底解决这一问题。 研究人员指出，如果攻击者通过该漏洞成功破解某一帐户，那么他们极有可能获取账户管理权限、转储恶意代码并通过会话劫持窃取用户敏感信息等操作。此外，攻击者还可在执行代码更新时将任何恶意程序嵌入其中。与此同时，由于 GitLab 使用的永久性私有会话令牌永远不会过期，...
Gitlab.com 误删 300 G 数据、五重备份失效已宕机 10 小时
GitLab.com 官方网站发布声明称由于其产品数据库问题导致的网站无法正常访问。据国外媒体报道称 Gitlab 网站疲惫的系统管理员深夜在进行数据库维护时，使用 rm -rf 删了 300GB 生产环境数据。等到清醒过来紧急按下 ctrl + c （强制中断程序的执行），只有 4. 目前可以确认的是 Gitlab 的数据备份是无效的。报告称此次数据丢失并非仓库的数据，而是仓库相关的 issue 以及合并请求操作。...