GitLab 服务器被利用发起超过 1 Tbps 的 DDoS 攻击-低调大师

GitLab 服务器被利用发起超过 1 Tbps 的 DDoS 攻击

2021-11-06 648

外媒报道了 GitLab 服务器被利用发动 DDoS 攻击的安全漏洞。

报道指出，攻击者利用 GitLab 自托管服务器中的安全漏洞来构建僵尸网络，并发起规模巨大的 DDoS 攻击，攻击流量甚至一度超过 1 Tbps。负责谷歌 DDoS 防御的谷歌云安全可靠性工程师 Damian Menscher 发现了此次 DDoS 攻击，攻击者利用了编号为 CVE-2021-22205 的漏洞。GitLab 已在 4 月对漏洞进行了修复，但不是所有自托管的服务器都安装了修复补丁。

据介绍，此漏洞由 William Bowling 发现，并通过漏洞赏金计划提交给了 GitLab。漏洞位于 ExifTool 组件，这是一个用于从上传到 Web 服务器的图像中删除元数据的库。

GitLab 社区版 (CE) 和企业版 (EE) 均使用了 ExifTool，在向 HackerOne 提交的一份报告中，Bowling 称其发现了一种滥用 ExifTool 的方法，可被用于控制 DjVu 格式文档的上传，进而获得对整个底层 GitLab Web 服务器的控制。

意大利安全公司 HN Security 称，利用此漏洞的攻击最早可以追溯到今年 6 月，他们上周首次报告了被利用的迹象。当时 HN 安全研究员 Piergiovanni Cipolloni 表示，他们在发现随机命名的用户被添加到受感染的 GitLab 服务器后便开始调查，这些用户很可能由攻击者创建，用于远程控制被入侵的系统。

根据 Rapid7 的分析，超过 60000 台 GitLab 服务器连接到互联网，其中大约一半仍未针对 CVE-2021-22205 ExifTool 漏洞进行修复。利用漏洞的 POC 今年 6 月发布，大约与 HN 发现第一次攻击的时间相同。

微信关注我们

原文链接：https://www.oschina.net/news/167570/gitlab-servers-are-being-exploited-in-ddos-attacks

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

红帽计划招聘低薪低资历的工程师，以控制薪资成本

11 月 5 日，据外媒 theregiste 报导，IBM 的 Red Hat 计划减少对高级工程师的招聘，主要目的是控制薪资成本。这个消息来自红帽软件工程高级副总裁 Timothy Cramer 向经理发送的一封内部电子邮件，邮件中包含下一步招聘计划的变更，Cramer 认为应该优先投资现有的员工，招聘降级有利于平衡收支预算。： 1、对软件工程师的招聘要求会下降，从“高级软件工程师”变成“软件工程师”或者“助理软件工程师”。Crame 表示公司有很多高级软件工程师，可以对他们进行培训和指导、晋升和内部流动。 2、减少空缺岗位的回填，而且岗位填补也遵循第 1 项的低资历原则，所有岗位的能力需求都降低一级。这封电子邮件由自称是红帽员工的匿名人士提供，而红帽发言人也承认，此邮件确认是出自 Timothy Cramer。红帽员工担心：无法提供有竞争力的薪酬，可能会导致红帽招不到有能力的员工，还会影响现有员工的工作热情。出于对现有员工情绪的担忧，红帽经理也对 Crame 作出了回应“调到更低的级别可能会影响员工的流动性，此计划还需要进一步完善。” 2021 年，红帽已经招聘了 2,20...

2021-11-06

644

近日，英特尔和微软宣布，Windows 子系统的 Linux (WSL2)目前已支持 oneAPI Level Zero 和 Inlel OpenCL ，同时采用英特尔图形硬件加速。就像 NVIDIA 为 WSL2 带来 CUDA 和 GPU 加速支持，英特尔和微软现在在 Windows 11 或 Windows 10 21'H2 的Linux 下使用英特尔图形计算，硬件加速的 oneAPI Level Zero、Intel 图形硬件的 OpenVINO 和 OpenCL 现在可以都在WSL2 环境中使用最新的更新和驱动程序。值得注意的是，微软让 Intel 的开源 Compute-Runtime 在开源驱动上工作，但并不是微软的主线内核驱动程序。这是参考 DirectX 的“ DXGKRNL ” 驱动程序，此驱动程序去年发布，但被主流化的前景渺茫，很大程度上是由于缺乏开源的客户端。现在有了 Intel 的 Compute-Runtime代码，微软有可能尝试将他们的 DXGKRNL 驱动程序合并到主线。关于 WSL2 的更详细信息，可以点击微软博客查看。

2021-11-06

1137

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。