https://opennet.ru/openforum/vsluhforumID3/92484.html В открытой платформе для организации совместной работы с Git-репозиториями GitLab выявлены две уязвимости, которые могут быть использованы для выполнения произвольного кода на сервере Первая уязвимость (http://permalink.gmane.org/gmane.comp.security.oss.general/11423) (CVE-2013-4489) найдена в системе поиска по коду и позволяет выполнить произвольные команды через отправку специально сформированного поискового запроса. Вторая уязвимость CVE-2013-4490 (http://permalink.gmane.org/gmane.comp.security.oss.general/11424) присутствует в модуле gitlab-shell, используемом для установки ключей SSH, загруженных через web-интерфейс. Проблемы проявляются только для аутентифицированных пользователей и уже исправлены (http://blog.gitlab.org/gitlab-ce-6-2-and-5-4-security-release/) в выпусках GitLab 6.2.3 и 5.4.1.<br><br>URL: http://blog.gitlab.org/gitlab-ce-6-2-and-5-4-security-release/<br>Новость: http://www.opennet.ru/opennews/art.shtml?num=38342<br> https://opennet.ru/openforum/vsluhforumID3/92484.html#28 Tue, 05 Nov 2013 17:42:09 GMT месте с внедрёнными бэкдорам?<br> https://opennet.ru/openforum/vsluhforumID3/92484.html#27 Tue, 05 Nov 2013 16:34:28 GMT &gt; а git репозитории ?<br><br>git бэкапиться на отдельную машину<br> https://opennet.ru/openforum/vsluhforumID3/92484.html#26 Tue, 05 Nov 2013 15:30:01 GMT руби хороший. the planet is fine. the people are fucked.<br> https://opennet.ru/openforum/vsluhforumID3/92484.html#25 Tue, 05 Nov 2013 15:16:23 GMT <br><br>бонусом надо посмотреть в глаза и остальным членам команды, которые "делают review" кода друг друга :-))<br> https://opennet.ru/openforum/vsluhforumID3/92484.html#24 Tue, 05 Nov 2013 15:15:15 GMT а git репозитории ?<br> https://opennet.ru/openforum/vsluhforumID3/92484.html#23 Tue, 05 Nov 2013 15:08:16 GMT &gt; рыдаю от умиления. хочу посмотреть в широко открытые стеклянные глаза того, кто <br>&gt; это изначально написал. просто так, из любопытства.<br><br>Рубисты же. Модно-стильно-молодежно. Офигенно безопасно. И system() освоили заодно.<br> https://opennet.ru/openforum/vsluhforumID3/92484.html#22 Tue, 05 Nov 2013 14:44:37 GMT &gt; Пора бы уже знать что gitlab ставится от имени служебного пользователя<br><br>А что, на серваке могут быть еще и данные _не служебных_ пользователей?<br> https://opennet.ru/openforum/vsluhforumID3/92484.html#21 Tue, 05 Nov 2013 14:42:12 GMT А нефиг создавать скрытые каталоги в корне. Тогда и проблем у взламывающих вас хаксоров не будет.<br> https://opennet.ru/openforum/vsluhforumID3/92484.html#20 Tue, 05 Nov 2013 14:01:23 GMT &gt;давно пора знать, что ценны на машинах именно пользовательские данные. другими словами, sudo для rm не нужен (если пакостник не клинический "Аноним")<br><br>Пора бы уже знать что gitlab ставится от имени служебного пользователя<br>