🛠️ GitLab满分漏洞:你看到的DApp网页,是从哪条流水线造出来的?
这两天安全圈是真的忙。PHP高危漏洞、Railway环境变量泄露之后,又轮到GitLab。
根据The Hacker News等多家安全媒体的报道:
🔹 GitLab于美国时间10月21日发布紧急补丁
🔹 漏洞评分CVSS 10.0,也就是满分
🔹 攻击者无需登录,就可能在自建(self-managed)的GitLab服务器上执行任意代码
🔹 影响范围追溯到2014年的7.0版本,大约12年的版本
🔹 部分报道称暂未发现被实际利用
这跟币圈有什么关系?关系不小。
很多项目的代码托管、自动构建、前端部署都跑在自建GitLab的CI/CD流水线上。流水线里往往放着部署密钥、云服务凭证,有时还有签名用的钥匙。合约审计得再干净,如果构建流水线被人动了手脚,上线的前端就可能被换成钓鱼版本,网址一样、界面一样,只是弹出来的签名不一样。
所以这一波我的看法是:
项目方该做的,是立刻升级、轮换流水线里的所有密钥、检查最近的构建记录,然后像CZ建议的那样公开说明自己是否受影响。
我们普通用户能做的,是每次签名都看清楚授权内容和合约地址,看不懂的不签;大额资产不放在天天交互的钱包里;定期撤销不用的授权。
一周之内三四个底层组件接连出事,说明安全从来不是一个点,而是一整条链。
你用的项目里,有哪家已经出来说明自己的代码托管和构建环境没受影响?
#安全 #GitLab #Web3安全 #币圈防骗
这两天安全圈是真的忙。PHP高危漏洞、Railway环境变量泄露之后,又轮到GitLab。
根据The Hacker News等多家安全媒体的报道:
🔹 GitLab于美国时间10月21日发布紧急补丁
🔹 漏洞评分CVSS 10.0,也就是满分
🔹 攻击者无需登录,就可能在自建(self-managed)的GitLab服务器上执行任意代码
🔹 影响范围追溯到2014年的7.0版本,大约12年的版本
🔹 部分报道称暂未发现被实际利用
这跟币圈有什么关系?关系不小。
很多项目的代码托管、自动构建、前端部署都跑在自建GitLab的CI/CD流水线上。流水线里往往放着部署密钥、云服务凭证,有时还有签名用的钥匙。合约审计得再干净,如果构建流水线被人动了手脚,上线的前端就可能被换成钓鱼版本,网址一样、界面一样,只是弹出来的签名不一样。
所以这一波我的看法是:
项目方该做的,是立刻升级、轮换流水线里的所有密钥、检查最近的构建记录,然后像CZ建议的那样公开说明自己是否受影响。
我们普通用户能做的,是每次签名都看清楚授权内容和合约地址,看不懂的不签;大额资产不放在天天交互的钱包里;定期撤销不用的授权。
一周之内三四个底层组件接连出事,说明安全从来不是一个点,而是一整条链。
你用的项目里,有哪家已经出来说明自己的代码托管和构建环境没受影响?
#安全 #GitLab #Web3安全 #币圈防骗