Bowling|攻击者利用漏洞发动 DDoS 攻击，3万台 GitLab 服务器仍未修补_ExifTool|公司|服务器|攻击|G

整理 | 祝涛
出品 | CSDN（ID：CSDNnews）

文章图片

据报道，该漏洞由 William Bowling 发现，并通过漏洞赏金计划提交给了GitLab官方。
此漏洞会对ExifTool造成影响， ExifTool是一个用于将图像上传到 Web 服务器、并剔除元数据的库。 GitLab在社区版（CE）和企业版（EE）上均使用了ExifTool ，且公司能够将其服务的开源/商业版本安装在自己的服务器上。这样一来，企业能够专注于他们想要处理专有代码的场景安全环境，而无需使用基于云端的GitLab服务。
然而在向HackerOne提交的一份报告中， Bowling称其发现了一种滥用ExifTool的方法，可被用于扫描DjVu格式的文档，进而控制整个底层GitLab网络服务器。
意大利安全公司HN Security上周首次报告了这一漏洞被利用的迹象，该公司指出，攻击可追溯到今年6月份。
安全研究员Piergiovanni Cipolloni表示，在发现有随机命名的用户被添加到受感染的GitLab服务器后，他们随即对此展开了调查。这些用户很可能是由攻击者一手创建，旨在对受害系统实施远程控制。

文章图片

尽管HN安全部门目前还不清楚这些攻击的目的，但谷歌的工程师Damian Menscher表示，被黑客攻击的服务器是某巨型僵尸网络的一部分，该僵尸网络由"数千个受感染的GitLab实例"组成，并且正在发动大规模的DDoS攻击。
参考链接：

https://therecord.media/gitlab-servers-are-being-exploited-in-ddos-attacks-in-excess-of-1-tbps/
https://www.rapid7.com/blog/author/jake-baines/

?雅虎、领英接连退出中国，开发者：GitHub 也会受到影响吗？
? 小米计划3年内成为全球第一；谷歌计划在韩国开放第三方支付；Firefox 94发布|极客头条
【Bowling|攻击者利用漏洞发动 DDoS 攻击，3万台 GitLab 服务器仍未修补】?微软总裁：元宇宙概念应避免炒作，科技行业需配合监管机构