V GitLabu opraveny vážné bezpečnostní chyby

Dle plánu (zprávička) byly vydány verze 8.7.1, 8.6.8, 8.5.12, 8.4.10, 8.3.9 a 8.2.5 GitLabu, open source alternativy GitHubu, tj. softwarového nástroje s webovým rozhraním umožňujícího spolupráci na zdrojových kódech. Opraveny jsou vážné bezpečnostní chyby. Nejvážnější CVE-2016-4340 umožňuje přihlášenému uživateli stát se kýmkoli jiným, třeba administrátorem.

3.5.2016 03:00 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Andrej]

Uf. Mně tohle vždycky přišlo tak složité, že jsem si nakonec zprovoznil gitolite a už bych neměnil.

[Josef Kufner]

Já gitolite měl, ale nikdy to pořádně nestačilo. Jakmile má spolupracovat více lidí, Gitlabí issues jsou velmi užitečná věc a na rozdíl od snad všech ostatních bug trackerů jsou opravdu snadno použitelná a dobře integrovaná s Gitem.

[mirec]

V čom sú lepšie oproti redmine s nakonfigurovaným git pluginom (teda s možnosťou hrabať sa v repozitári, zatvárať issues cez commit message, priraďovať commit k issue, integrované sledovanie času stráveného na issue cez git-timetrack) ...

[Sten]

Jsou propojené s merge requesty a continuous integration.

Mimochodem rozjet Redmine, obzvlášť s nějakými pluginy, je oproti GitLabu mnohem těžší. A rozhraní Redmine by taky zasloužilo aktualizovat o alespoň deset let.

[mirec]

Netvrdil by som to o redmine. V práci máme oba a oba som inštaloval a nastavoval ja. Viacej práce mi zaberá gitlab kvôli aktualizáciám (obzvlášť desatinové aktualizácie sú hnusné od čakania na bundle install až po ručné diffovanie example kongigurákov a patchovanie mojich a to pre každú desatinnú verziu postupne pretože nemôžem len tak urobiť upgrade 8.0 - 8.7 napríklad).

[Sten]

Patchování konfiguráků? Jak to proboha instalujete? Mám to instalované z aptitude (s Omnibus), konfigurák (jeden) je v /etc/github a žádné patchování při aktualizaci není potřeba.

[mirec]

8.0 - 8.1 kapitola 7, odporúčam ešte pozrieť 8.1 - 8.2, 8.2 - 8.3, 8.3 - 8.4, 8.4 - 8.5, 8.5 - 8.6, 8.6 - 8.7. Aktualizácia na niekoľko hodín. Oproti tej celej hrúze je aktualizácia redmine len obyčajný pull, doinštalovanie závislosti a spustenie migrácií.

[Josef Kufner]

Tohle za tebe Omnibus instalace dělá sama -- stačí prostý apt-get upgrade.

[mirec]

Ešte aby som reagoval na Omnibus. Tá vec má po rozbalení cca 1GB. Ťahá si so sbou vlastný webserver, node, postgresql, ruby ... vlastne duplikuje skoro celý systém. Mám celkom slušné porblémy s OOM aj bez toho aby som všetko duplikoval (okrem inéh som musel z gitlabu vyhodiť pár nepotrebných vecí, znížiť počet workerov na 1, najradšej by som sa ešte niečoho zbavil). Keď som ho inštaloval (niekde okolo verzie 4) nebola iná možnosť než ručná inštalácia zo zdrojových kódov. Vtedy to ešte žralo okolo 200MB RAM (+ 100MB redmine), ale teraz už aj keď máme maximálnu konfiguráciu VPS je dosť veľký problém to spustiť.

Ručná správa redmine je omnoho pohodlnejšia než ručná správa gitlabu. Že má gitlab balíky je momentálne pre mňa irelevantné keďže by som kvôli tomu musel sťahovať server. To radšej vymením gitlab.

[Josef Kufner]

Jo, Omnibus je šílenost a Gitlab i při instalaci ze zdrojáků je bumbrdlíček, ale se správou to není nijak zlé. Při Omnibus instalaci to je cca 300MB deb, chvilku to chroustá a pak je hotovo. Instalace ze zdrojáků je trochu pracnější, to jo, taky jsem se na ní vykašlal a přešel na Omnibus. Napíchl jsem to ale na systémovou Postgresql a Nginx, takže mi tam snad nic neběží dvakrát.

Jsou snahy o nativní deb balíčky, ale nějak na to nemají lidi, takže Gitlab je v Debianu trošku starší, ale je tam.

[Vykook]

Doporučuji se podívat na gogs - https://gogs.io je to miniaturní a pro takové to domácí použití to umí asi vše. Možná by to zvládlo i větší nasazení, ale nemám otestovano.

[xm]

To vypadá dobře! GUI jako by z oka vypadlo GitHubu, což je velké plus, všichni se budou cítit jako doma To že je to napsané v Go taky není zlé (byť já osobně bych preferoval Python ).

[Josef Kufner]

Díky. Po rychlém průzkumu to vypadá velice zajímavě. Zdá se mi to jako dobrá náhrada za Gitweb a Gitolite, pokud je potřeba samotný Git a issues, merge requesty a takové ty věci okolo. GUI je místy lehce kostrbaté, ale to se časem doladí. Chybí tomu různé drobnosti, jako třeba filtrování podle více labelů, vkládání obrázků do textu issue (aby se více screenshotů dalo snadno popsat).

Na produkční nasazení tomu chybí hlavně Continuous Integration. Pokud chceš řešit deploy, automatické testování a například generování dokumentace (která se pak vystaví na web), tak je to prakticky nutnost. Tohle má Gitlab pěkně zpracované.

Pro firemní nasazení tomu asi bude chybět napojení na LDAP a podobné vychytávky, které ale jdou už mimo mne. Ale jak jsem psal na začátku, místo Gitolite pro malé instalace to vypadá super.

[Josef Kufner]

Ah, tak LDAP to umí:)