《电子技术应用》
您所在的位置:首页 > 通信与网络 > 业界动态 > GitLab服务器漏洞被滥用于发起超过1Tbps的DDoS攻

GitLab服务器漏洞被滥用于发起超过1Tbps的DDoS攻

2021-11-06
来源:安全圈
关键词: gitlab 服务器漏洞

  关键词 DDoS攻击

  Google 云安全可靠性工程师 Damian Menscher 在今日披露的 CVE-2021-22205 漏洞利用报告中指出:有攻击者正在利用 GitLab 托管服务器上的安全漏洞来构建僵尸网络,并发起规模惊人的分布式拒绝服务攻击(DDoS)。其中一些攻击的峰值流量,甚至超过了 1 Tbps 。

  攻击盯上了 GitLab 的元数据删除功能

  The Record 报道称:该漏洞由 William Bowling 发现,并通过漏洞赏金计划提交给了 GitLab 官方。

  具体受影响的组件被称作 ExifTool,它是一个用于将图像上传到 Web 服务器、并剔除元数据的库。

  GitLab 在社区版(CE)和企业版(EE)上均使用了 ExifTool,且公司能够将其服务的开源 / 商业版本安装在自己的服务器上。

  这样一来,企业能够专注于他们想要处理专有代码的场景安全环境,而无需使用基于云端的 GitLab 服务。

  微信图片_20211106132918.jpg

  然而在向 HackerOne 提交的一份报告中,Bowling 称其发现了一种滥用 ExifTool 的方法,可被用于扫描 DjVu 格式的文档上传,进而获得对整个底层 GitLab 网络服务器的控制。

  上周首次披露漏洞利用迹象的意大利安全公司HN Security指出,攻击可追溯到今年 6 月份。

  当时安全研究员 Piergiovanni Cipolloni 表示,在发现有随机命名的用户被添加到受感染的 GitLab 服务器后,他们随即对此展开了调查。这些用户很可能是由攻击者一手创建,旨在对受害系统实施远程控制。

  尽管 HN Security 尚不清楚这些攻击的目的,但 Google 工程师 Damian Menscher 已于昨日表示,被黑服务器属于某个巨型僵尸网络的一部分。

  该网络包含成千上万个受感染的 GitLab 实例,且正被用于发起大规模的 DDoS 攻击。遗憾的是,尽管 GitLab 已于 2021 年 4 月完成了修补,仍有大约 30000 个 GitLab 服务器尚未打上补丁。




电子技术图片.png

本站内容除特别声明的原创文章之外,转载内容只为传递更多信息,并不代表本网站赞同其观点。转载的所有的文章、图片、音/视频文件等资料的版权归版权所有权人所有。本站采用的非本站原创文章及图片等内容无法一一联系确认版权者。如涉及作品内容、版权和其它问题,请及时通过电子邮件或电话通知我们,以便迅速采取适当措施,避免给双方造成不必要的经济损失。联系电话:010-82306118;邮箱:aet@chinaaet.com。