DevSecoops
编程代码共享平台gitlab已修复了服务器端请求伪造（（SSRF）在安全研究人员标记问题后，在软件库中的问题。
服务器端请求伪造是一类Web安全性beplay体育能用吗脆弱性例如，这允许攻击者强迫弱势服务器与组织基础架构内的内部服务建立连接。
研究人员VIN01’发现Gitlab的CI Lint API是与代码处理和管理人员工作流有关的库，这是有缺陷的。
去年12月发现该问题后，研究人员将其报告给Gitlab，后者在2月份发布了临时解决方案。
GitLab在本月初进行了更完整的补丁，为Vin01发布了详细的技术写上去他们的发现。
beplay体育能用吗webhook，line，沉降片
受影响的CI Lint API用于验证CI/CDGitLab实例的YAML配置。VIN01告诉每日swbeplay2018官网ig。
“具有特定配置的安装可以允许GitLab的内部网络请求，这很容易受到服务器端请求伪造（SSRF）的攻击，在该请求中，攻击者可以通过从公共面向的GitLab服务器跳出来向内部服务器发送请求。
“这些内部服务器通常不会接触到Internet，因为它们仅在内部使用，并且可能包含诸如密码之类的敏感信息，API钥匙，云服务凭据，由于这种脆弱性可能被偷走了。”
协调的披露
公开面对的吉特拉布服务器非常普遍，并且手头上的问题加剧了，因为不需要身份验证才能利用它。
漏洞被跟踪为CVE-2021-22175和CVE-2021-22214。
阅读更多Microsoft团队中的漏洞授予攻击者访问电子邮件，消息和个人文件
“在我的研究中，我看到了数百个脆弱的GitLab服务器，包括但不限于许多开源项目，政府使用GitLab托管其代码并将其与基础架构集成的系和大学。” Vin01补充说。
安全研究人员已经整理了一个小脚本，以测试GitLab服务器是否易受伤害，可在github。
VIN01称赞Gitlab对披露过程的处理，并补充说，即使他们自此私下警告许多受影响的组织有关其暴露于该缺陷的组织，但仍然有许多脆弱的实例。
