Názory k článku
GitLab je zneužíván k DDoS útokům přesahujícím 1 Tbps, záplatujte

Detail: https://hackerone.com/reports/1154542

Impact:
Anyone with the ability to upload an image that goes through the GitLab Workhorse could achieve RCE via a specially crafted file

To ale pořád vyžaduje pomoc někoho "zevnitř". Podle článku jsem pochopil, že je GitLab napadnutelný "zvenku".

Příště "feature" může být aktivována něčím jiným, třeba spuštěním pipeline...
Spíš to chápu tak, že do repozitáře asi může přispívat kdokoliv cokoliv a pokud je taková komunita, tak proti tomu není obrany. Nechtěl bych být v kůži admina, který to někde instaluje a říká si: "Je v této verzi backdoor nebo ne?"

Zejména, pokud je to admin, kterému nevadí, že na něj půl roku svítí červené "Update ASAP".

V tom předmětném místě se používá funkce "eval"

... a víc k tomu asi netřeba psát.