GitLab服务器漏洞被滥用，发起超过1Tbps的DDoS攻击，构建僵尸网络，发起规模惊人的分布式拒绝服务攻击（DDoS）。其中一些攻击的峰值流量甚至超过了1Tbps。该攻击针对GitLab的元数据删除功能TheRecord报道称，该漏洞由WilliamBowling发现，并通过漏洞赏金计划提交给GitLab官方。具体受影响的组件称为ExifTool，它是一个用于将图像上传到去除了元数据的Web服务器的库。GitLab在社区版(CE)和企业版(EE)上都使用ExifTool，公司可以在自己的服务器上安装其服务的开源/商业版本。这样，企业可以专注于他们想要处理专有代码的场景安全环境，而无需使用基于云的GitLab服务。（图片来自：HNSecurity）不过，在一份提交给HackerOne的报告中，Bowling表示他发现了一种滥用ExifTool的方法，可以用来扫描上传的DjVu格式文件，进而获取整个底层的GitLabweb服务器。控制。意大利安全公司HNSecurity上周首次披露了该漏洞利用的迹象，该公司表示，此次攻击可追溯到今年6月。当时担任安全研究员的PiergiovanniCipolloni表示，他们在发现随机命名的用户已被添加到受感染的GitLab服务器后展开了调查。这些用户很可能是由攻击者创建的，目的是获得对受害者系统的远程控制。虽然HNSecurity不清楚这些攻击的目的，但谷歌工程师DamianMenscher昨天表示，被黑的服务器是一个巨大僵尸网络的一部分。该网络包含数万个受感染的GitLab实例，并被用来发起大规模的DDoS攻击。不幸的是，尽管GitLab已于2021年4月打上补丁，但仍有约30,000台GitLab服务器未打上补丁。
