The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Уязвимость в библиотеке ruby-saml, приводящая к обходу аутентификации в GitLab"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Уязвимость в библиотеке ruby-saml, приводящая к обходу аутентификации в GitLab"  +/
Сообщение от opennews (??), 13-Мрт-25, 15:12 
Опубликованы корректирующие обновления платформы для организации совместной разработки GitLab - 17.9.2, 17.8.5 и 17.7.7, в которых устранена  уязвимость (CVE-2025-25291, CVE-2025-25292), позволяющая обойти аутентификацию на базе SAML (Security Assertion Markup Language). Уязвимость присутствует в Ruby-библиотеке ruby-saml, реализующей функции для SAML-авторизации. Кроме GitLab уязвимость затрагивает и другие проекты, использующие данную библиотеку. Проблема устранена в обновлениях ruby-saml 1.18.0 и 1.12.4...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=62876

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по ответам | RSS]

3. Сообщение от Анониматор (?), 13-Мрт-25, 15:21   +10 +/
GitLab - это яркий демонстратор того что не надо писать сложные вещи на Ruby. Жрёт память, еле шевелится, завышенные системные требования.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7, #15, #30

5. Сообщение от Аноним (5), 13-Мрт-25, 15:38   –1 +/
Ой как страшно, даже мемори-сейф ЯП не помог!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6

6. Сообщение от Аноним (6), 13-Мрт-25, 15:45    Скрыто ботом-модератором+1 +/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

7. Сообщение от Ivan_83 (ok), 13-Мрт-25, 15:47   +1 +/
Да, это просто ад для меинтейнера и сисадмина.
Я как то пробовал ставить из портов это поделие на фре, так оно поставило более 600 портов и в итоге так и не заработало :)

У меня на десктопе стоит 1к портов, но минимально как раз тоже примерно 600 надо для ДЕ с комфортом.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #10, #28, #33

10. Сообщение от Аноним (10), 13-Мрт-25, 16:21   +1 +/
Ну тут либо фря не подходит как платформа для работы сложного софта, либо админ неопытный. На линуксе в кубернетесе опыт эксплуатации с ~300 девелоперов могу оценить как приемлимый. Каких-то особых сложностей (и уж тем более чтобы не заработало) не вспоминается, даже бэкапы восстанавливать не приходилось.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #12, #17

11. Сообщение от Аноним (11), 13-Мрт-25, 16:22   –2 +/
Кто нибудь вообще воспринимает этот гитлаб в серьез? Это же васяноподелие жуткое, и ведь им в проде пользуются(знаю одну корпу, у которой в сеть светит страничка авторизации их гитлаба, со всеми репами и прочим).
Как по мне, оно хайпануло только из за нетакусиков, во первых, потому что не гитхаб(хотя чем плох гитхаб никто сказать не может), а во вторых, потому что оно родом из страны, поддерживать которую сейчас модно.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #13, #14, #20

12. Сообщение от 12yoexpert (ok), 13-Мрт-25, 16:24   +/
зачем для веб-морды гита кластер, если у тебя всего 300 клиентов? это ненормально
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #18, #29

13. Сообщение от 12yoexpert (ok), 13-Мрт-25, 16:26   –1 +/
> потому что не гитхаб(хотя чем плох гитхаб никто сказать не может)

тем, что это мелкомягкие, зачем дурачком прикидываешься?

а вот о том, что гитлаб арендует сервера у мелкомягких, почему-то все молчат

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #21, #22

14. Сообщение от Аноним (15), 13-Мрт-25, 16:27   +2 +/
Чем плоха арендованная квартира, только дураки живут в собственном жилье!
А все рассказы про то что владелец арендованной квартиры может тебя выгнать в любой момент, полна чушь! Как он меня выгонит, я же ему за это деньги плачу!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #24

15. Сообщение от Аноним (15), 13-Мрт-25, 16:32   +/
Ждем аналог Giltab'a на Rust! Или хотя бы на Go! А, на Go уже есть? Несколько? А чё тогда на Rust никто не напишет?
Ей! Пасаны! Харе фигнёй страдать! Гоу, не, т.е. Ран писать Giltab на Rust!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #16, #19

16. Сообщение от Ivan_83 (ok), 13-Мрт-25, 16:37   +1 +/
На go мне вполне нравится как сделано, для админа нуль проблем. Для меинтейнера тоже примерно так же.
На пхп было бы тоже не плохо, судя по другим проектам которые я меинтейнил/ставил.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

17. Сообщение от Ivan_83 (ok), 13-Мрт-25, 16:38    Скрыто ботом-модератором+1 +/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

18. Сообщение от Аноним (10), 13-Мрт-25, 16:47   +1 +/
Ну есть кластер, почему бы не использовать его и для гит-морды? Там же не только Гитлаб крутится.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

19. Сообщение от Анониматор (?), 13-Мрт-25, 16:52   +/
а чем гошка плоха для этой задачи?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #23

20. Сообщение от нах. (?), 13-Мрт-25, 16:57   +/
> Кто нибудь вообще воспринимает этот гитлаб в серьез?

Все кто не собирается хранить свои исходники в _чужом_ облачке.

> Это же васяноподелие жуткое

твой обожаемый гитляп - такое же точно васяноподелие причем на том же самом нескучненьком язычке.
Просто тебе не дадут исходник забесплатно скачать без смс, чтоб ты пальцем не тыкал в ляпы и не глумился, вот и вся разница.

К сожалению, других средств коллективной работы над проектами у меня для вас, _уже_, нет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #25, #36

21. Сообщение от Аноним (10), 13-Мрт-25, 16:59   +1 +/
> тем, что это мелкомягкие

А чем это плохо-то? Платиновый спонсор разработки Линукса, между прочим. Их вклад в опенсорс в месяц больше, чем у всего опеннета вместе взятого за всю историю его существования.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

22. Сообщение от нах. (?), 13-Мрт-25, 17:03   +/
Потому что дурачок тут только ты, и даже не прикидываешься.

Всем совершенно плевать на бредни нетакусиков о проклятой вездесущей microsoft.

Но вот складывать исходники и всю околопроектную деятельность в чужие облачка, действительно готовы оказываются не все. А кому-то и законодательство прямо запрещает.

(github enterprise то такоэ... во-первых, подписка в любой момент может подорожать или вовсе закончиться, во-вторых если ты его поставишь, то с удивлением узнаешь что даже серверная изолированная версия мнэ...не совсем изолированная. Про цену уж не будем - "call!")

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #26

23. Сообщение от нах. (?), 13-Мрт-25, 17:03   +/
не по пацански!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

24. Сообщение от Аноним (10), 13-Мрт-25, 17:08   –1 +/
А без котёнка с дверцей сможешь объяснить что не так? Гит — система распределённая, можешь свои нетленки на все известные человечеству хостинги кода залить, и пусть потом опеннет спорит где оригинал, а где копия. Может для меня оригинал только на моём лаптопе, всё остальное — резервные копии. Или скажешь, что резервное копирование не нужно?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #31

25. Сообщение от Аноним (10), 13-Мрт-25, 17:14   +/
> К сожалению, других средств коллективной работы над проектами у меня для вас, _уже_, нет.

Да их и не было особо. Первый _продукт_, которым было удобно пользоваться — это как раз ГитХаб, не диво что его Майкрософт купил. Остальные в то время всё ещё пытались вывести более быструю лошадь^W^W^W^Wсделать более удобный sourceforge.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #35

26. Сообщение от Аноним (10), 13-Мрт-25, 17:24   –1 +/
Всё там в порядке и с изоляцией, и с ценником, и даже с поддержкой. Госдеп США устраивает, авось и твоему подвалу сгодится. Проблемы с законодательством (кстати, ссылки на соответствующие нормативные документы не покажешь?), ценами, и внезапными отключениями  свойственны только слаборазвитым странам, всячески стремящимся покинуть лоно цивилизации. И эти проблемы хостинг кода решить не может, и не должен.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #32, #34

27. Сообщение от Аноним (27), 13-Мрт-25, 17:27   +/
Автор! Обязательно пиши в какой версии уязвимость появилась.
Ответить | Правка | Наверх | Cообщить модератору

28. Сообщение от User (??), 13-Мрт-25, 17:38   –1 +/
Ну, это так то камень в огород фри, а не ruby с гитлабом - если вместо абсолютно беспроблемного деплоя хоть контейнером, хоть пакетом приходится вот это всё на лыжах под водой гамакать - чот в консерватории не то.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

29. Сообщение от User (??), 13-Мрт-25, 17:41   +1 +/
Оу. Великий "организатор совещаний через cron" (тм) и в gitlab дальше оглавления(тм) не заглядывал? Ну... Ожидаемо, чоужтам.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

30. Сообщение от Профессор Кукушкин (?), 13-Мрт-25, 17:46   +/
Нет, это пример как не надо писать сложные проекты на любом языке. С теми практиками, которые используют в Гитлабе, он будет одинаково отвратительно работать на любом языке.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

31. Сообщение от User (??), 13-Мрт-25, 17:46   +/
Да можешь и не заливать, чоужтам. С такими предложениями она все равно нах (прости, пох!) никому не нужна.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

32. Сообщение от anoni (?), 13-Мрт-25, 17:55    Скрыто ботом-модератором+/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

33. Сообщение от нах. (?), 13-Мрт-25, 18:09   +/
дай угадаю - из тех 600 - 590 - это лефтпады на самом же ruby. Боюсь что это проблема организации портов во фре.

И в итоге не заработало потому что один из 600 оказался уже не той версии с которой тестировали сборку.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #37

34. Сообщение от Аноним (34), 13-Мрт-25, 18:09   +/
> Госдеп США устраивает

Потому что они в одной юрисдикции.
> Проблемы с законодательством (кстати, ссылки на соответствующие нормативные документы не покажешь?), ценами, и внезапными отключениями  свойственны только слаборазвитым странам

Это ЕС слаборазвитые?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #39

35. Сообщение от нах. (?), 13-Мрт-25, 18:12   +/
Как мы жили до прихода священного платинового спонсора - ума не приложу!

Купил он его потому что продавалось. А Гренландия - не продается.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

36. Сообщение от blkkid (?), 13-Мрт-25, 18:18   +/
> К сожалению, других средств коллективной работы над проектами у меня для вас, _уже_, нет.

st.ht? gitea/forgejo? ну если хочется у кого-то еще, есть codeberg для попенсорса и какие-нибудь мелкие хостинги типа сберовского gitflic

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #38

37. Сообщение от Аноним (37), 13-Мрт-25, 18:23   +/
> дай угадаю - из тех 600 - 590 - это лефтпады на самом же ruby.

Не, там полно и каноничных лефтпадов

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

38. Сообщение от нах. (?), 13-Мрт-25, 18:23   +/
> st.ht?

можно я не буду это комментировать даже, вместе с сберфриком?

> gitea/forgejo?

это корявый веб-интерфейс для авторизации в гите, не умеющем из коробки даже этого. Причем тут коллективная работа над проектами? Она вообще не требует обязательной поддержки vcs.

(собственно, в одном поддерживаемом проекте - не смотря на гитлаб - вполне себе используется внешнее решение. Потому что разработчики немодные и новые наборы стикеров им не зашли.)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

39. Сообщение от нах. (?), 13-Мрт-25, 18:28   +/
>> Госдеп США устраивает
> Потому что они в одной юрисдикции.

В той юрисдикции надысь уволили половину госдепа. Уцелевшим не до выбора нормальной платформы, им бы до пенсии дотянуть.

> Это ЕС слаборазвитые?

Конечно.
Вон из недавних разгромных новостей как они америку импортозаместили:

"Берлин в январе - в одном из последних пакетов - передал Украине 60 ракет к IRIS-T".
Понимаешь - 60 ШТУК. В МЕСЯЦ. Крупнейшая экономика гейропы.

Какого лешего мы до сих пор баварское не пьем, и все бесплатно и в любом количестве, в счет репараций - я решительно не понимаю.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34


Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру