据外媒近日报道，数据安全公司 Imperva 研究人员丹尼尔·斯瓦特曼（Daniel Svartman）今年 5 月发现开源系统 GitLab 存在一处高危漏洞，能够允许攻击者通过会话劫持窃取用户私有令牌。 直至本周三，GitLab 官方才确认已彻底解决这一问题。
研究人员指出，如果攻击者通过该漏洞成功破解某一帐户，那么他们极有可能获取账户管理权限、转储恶意代码并通过会话劫持窃取用户敏感信息等操作。此外，攻击者还可在执行代码更新时将任何恶意程序嵌入其中。与此同时，由于 GitLab 使用的永久性私有会话令牌永远不会过期，因此当攻击者获取该令牌后受害账户随时可能遭受入侵。另外，值得注意的是，该令牌仅由 20 个字符组成，这使目标账户遭受暴力攻击的几率显著增加。
研究人员表示尚不清楚该漏洞已出现多久，而 GitLab 方面则澄清截止目前并没有用户遭受恶意攻击的案例。GitLab 安全主管 Brian Neel 强调：“ GitLab 现使用的私有令牌只能在与跨站点脚本或其他漏洞相结合时，才会对用户构成威胁。对此，GitLab 官方正积极采取更安全的措施以避免账户会话数据泄露 ”。
更多GitLab相关教程见以下内容：
Ubuntu 14.04下安装GitLab指南 http://www.linuxidc.com/Linux/2015-12/126876.htm
如何在Ubuntu Server 14.04下安装Gitlab中文版 http://www.linuxidc.com/Linux/2015-12/126875.htm
CentOS源码安装GitLab汉化版 http://www.linuxidc.com/Linux/2015-10/124648.htm
在 Ubuntu 12.04 上安装 GitLab http://www.linuxidc.com/Linux/2012-12/75249.htm
GitLab 5.3 升级注意事项 http://www.linuxidc.com/Linux/2013-06/86473.htm
CentOS 7安装部署GitLab服务器 http://www.linuxidc.com/Linux/2017-06/144990.htm
在RHEL6/CentOS6/ScientificLinux6上安装GitLab 6.0.2 http://www.linuxidc.com/Linux/2014-03/97831.htm
CentOS 6.5安装GitLab教程及相关问题解决 http://www.linuxidc.com/Linux/2014-05/101526.htm
升级GitLab到8.2.0 http://www.linuxidc.com/Linux/2015-12/126220.htm
GitLab 的详细介绍：请点这里
GitLab 的下载地址：请点这里
本文永久更新链接地址：http://www.linuxidc.com/Linux/2017-09/146709.htm
