Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Критическая уязвимость в GitLab"	+/–
Сообщение от opennews (??), 24-Авг-22, 10:42
В корректирующих обновлениях платформы для организации совместной разработки GitLab  15.3.1, 15.2.3 и 15.1.5  устранена критическая уязвимость (CVE-2022-2884), позволяющая аутентифицированному пользователю, имеющему доступ к API для импорта данных из GitHub, удалённо выполнить код на сервере.  Подробности эксплуатации пока не приводятся. Уязвимость выявлена  исследователем безопасности в рамках действующей на HackerOne программы выплаты вознаграждений за выявление уязвимостей... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=57672
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

2. Сообщение от Жироватт (ok), 24-Авг-22, 10:51	–8 +/–
[Удобство]\/[Безопасность] Хе. Чаша [Удобство] снова в приоритете.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #5, #46

3. Сообщение от Аноним (3), 24-Авг-22, 10:53	+10 +/–
опять ты
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

4. Сообщение от Анна Нист (?), 24-Авг-22, 11:06	+/–
То чувство, когда товарищи Гитлабовцы хотели удалять код из-за простоя... Начинайте с себя!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27

5. Сообщение от Аноним (5), 24-Авг-22, 11:10	–4 +/–
Где там удобство, диффы убого как в соснольке отображаются, когда во всех нормальных IDE графически.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #6

6. Сообщение от anonymous (??), 24-Авг-22, 11:18	+/–
покажи как надо
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #26

10. Сообщение от Аноним (10), 24-Авг-22, 13:32	+2 +/–
Оно все также жрет памяти как прожорливая корова?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #13, #17

13. Сообщение от Аноним (-), 24-Авг-22, 14:35	–4 +/–
У тебя что там, пентиум 1 с 256 мб озу?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #15, #38

15. Сообщение от Аноним (10), 24-Авг-22, 14:59	+2 +/–
Это неважно. Важно то, что оно жрет память. Софт значит неоптимизирован
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #16

16. Сообщение от ыы (?), 24-Авг-22, 15:09	+2 +/–
Манипуляция для дурачков. Скажи что софт не оптимизирован - и создается впечатление что существует некая оптимизация которая позволит не жрать память... Берете софт 20 летней давности и радуетесь "оптимизации" благодаря которой он "не жрет память". Правда оно ничего не умеет. но разве это важно :) ?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #23, #39

17. Сообщение от freehck (ok), 24-Авг-22, 15:10	+2 +/–
> Оно все также жрет памяти как прожорливая корова? У меня есть инсталляция, где я затюнил его нормально работать на: - 2x CPU (Xeon / Cascadelake) - 3 GiB RAM (+1 GiB swap) - 25 GiB HDD Это без раннеров, метрик-алёртов-графаны, с урезанным до одного потока веб-сервером, двумя потоками планировщика, стораджем для артефактов/регистри и бэкапами в s3. Память в среднем забита на 80%, своп на 65%; Диск забит на 35%, LA в районе 0.2. Работает шустро.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #18, #29, #31

18. Сообщение от ДРО (?), 24-Авг-22, 15:44	–1 +/–
конфиг будет? ато пока только слова
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #21

21. Сообщение от freehck (ok), 24-Авг-22, 16:09	+3 +/–
> конфиг будет? ато пока только слова Да пожалуйста: puma['worker_processes'] = 0 sidekiq['concurrency'] = 2 postgresql['shared_buffers'] = '256MB' grafana['enable'] = false prometheus_monitoring['enable'] = false prometheus['enable'] = false alertmanager['enable'] = false Добавьте это в конец /etc/gitlab/gitlab.rb и будете наблюдать описанный мной результат.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

23. Сообщение от Аноним (23), 24-Авг-22, 16:34	+1 +/–
> Берете софт 20 летней давности и радуетесь "оптимизации" благодаря которой он "не жрет память". Правда оно ничего не умеет. но разве это важно :) ? Если софт "20 летней давности" попытаются сегодня написать с нуля тем же "ничего не умеет" функционалом, потреблять он будет в разы больше. Нет, конечно, есть разработчики, которые таки предпринимают попытки в оптимизации, и даже получают сносный результат, но в среднем по больнице ситуация явно будет не в пользу софтостроителей наших дней.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

26. Сообщение от Аноним (26), 24-Авг-22, 19:01	–1 +/–
Открой idea, netbeans или smartgit - там как надо.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

27. Сообщение от Без аргументов (?), 24-Авг-22, 20:43	+/–
Их главный предпочел коммитить в твиттер.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #47

29. Сообщение от Sw00p aka Jerom (?), 24-Авг-22, 22:08	+/–
а база на этом же серваке?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #34

31. Сообщение от microsoft (?), 24-Авг-22, 23:10	–1 +/–
> своп > Работает шустро. Ты шутник или лжец?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #32

32. Сообщение от Аноним (32), 24-Авг-22, 23:16	+1 +/–
Прикинь, не везде нужна быстрая память
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #54

33. Сообщение от Anonim (??), 25-Авг-22, 00:22	–1 +/–
Я нашел еще одну уязвимость в gitlab. Она называется Git. В связи с этим имею 2 вопроса: 1. Когда устранят найденное мной безобразие? 2. Как я могу получить свое вознаграждение?
Ответить | Правка | Наверх | Cообщить модератору

34. Сообщение от freehck (ok), 25-Авг-22, 00:55	+/–
> а база на этом же серваке? Да. Можно вынести отдельно, сэкономит примерно 300 мб рамы. До 2 гб потребление не доведёт, так что с учётом того, что при заказе машин у провайдера память обычно квантуется по гигабайту, смысла в этом не вижу. Вообще я не понимаю, что тут комментаторов удивляет. По официальной доке гитлабу нужно 4 гига рамы + 2 гига свопа, я затюнил его до 3 гигов рамы + 1 гига свопа, банально отключив лишний функционал и понизив количество потоков основных сервисов. Не рокет саенс.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #40, #44

35. Сообщение от zog (??), 25-Авг-22, 02:26	+1 +/–
> отключить "GitHub" Интересное предложение.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #36

36. Сообщение от А (??), 25-Авг-22, 07:40	+2 +/–
Самое верное. И забыть про эти костыли.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #53

37. Сообщение от Аноним (37), 25-Авг-22, 09:01	+1 +/–
Не удивлен, что в этом мега комбаине будет уязвимость.
Ответить | Правка | Наверх | Cообщить модератору

38. Сообщение от Аноним (38), 25-Авг-22, 09:25	+/–
Откуда там у пентиумов 1 256 мб озу было? На 16MB win95/98 гоняли, 32 мб это уже почти буржуинство - win nt  можно было относительно сносно гонять.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

39. Сообщение от Аноним (39), 25-Авг-22, 10:20	+/–
Манипуляция для дурачков. Выкидываешь Руби и берешь любой нормальный язык программирования и жор сразу же прекращается.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #41

40. Сообщение от Аноним (39), 25-Авг-22, 10:22	+/–
А до тебя не доходит что сам факт того что надо что-то тюнить и есть доказательство жора. Почему gitea с drone столько не жрут?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #42, #45

41. Сообщение от ыы (?), 25-Авг-22, 10:49	+1 +/–
Манипуляция для дурачков. Банишь анонимов и читаешь только нормальных комментаторов и в диалоге появляется смысл.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #48

42. Сообщение от freehck (ok), 25-Авг-22, 12:10	+1 +/–
> Почему gitea с drone столько не жрут? Потому что у них разная аудитория с разными целями. Гитлаб -- это коробочный продукт, который после установки сразу обеспечивает весь заявленный функционал. Гитея же -- это конструктор, где после установки вы подключаете нужный функционал по кусочкам самостоятельно. > А до тебя не доходит что сам факт того что надо что-то тюнить и есть доказательство жора. По той же логике, recommends в пакетах debian-а -- это тоже "доказательство жора" тогда. =) Смотрите: - Вот мы возьмём дефолтные настройки APT, и поставим evince. Очень много зависимостей прилетит, займёт много места. Зато сразу всё работает. Это -- подход GitLab. - Или возьмём да отключим в APT установку Recommends. Поставим тот же самый evince. Места заняло мало, но он сможет работать только с dvi-файлами. А у вас в коллекции djvu и pdf. Придётся отдельно ставить пакеты с плагинами для них. А потом вы вдруг скачали epub. И опять что-то ставить надо. А потом вам друг скинул fb2. И по-новой. Это -- подход Gitea. На самом деле вполне очевидно, что это эти два подхода суть не более чем трейдофф между удобством и затратами. -- У меня вот в дефиците время, а не ресурсы. Поэтому мой выбор очевиден. А какой подход больше устраивает вас -- решайте сами. Я лишь показал, что гитлаб может жрать меньше заявленного вендором. Достаточно ли этого для вас -- мне не ведомо, да и в общем-то безразлично.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

44. Сообщение от Sw00p aka Jerom (?), 25-Авг-22, 13:14	+/–
> По официальной доке гитлабу нужно 4 гига рамы + 2 гига свопа, я затюнил его до 3 гигов рамы + 1 гига свопа, банально отключив лишний функционал и понизив количество потоков основных сервисов. для одного проекта достаточно с максимальным числом пользователей не больше 5:)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

45. Сообщение от Sw00p aka Jerom (?), 25-Авг-22, 13:19	+/–
> что сам факт того что надо что-то тюнить и есть доказательство жора. отключение неиспользуемого функционала -  не тюнинг, и не жор,  банальная экономия ресурса. Жор был бы тогда,  когда отключив функционал, испытывал бы недостаток ресурсов. Тюнинг там только в процессных лимитах как я понял, но и с базой не ясно,  что тюнил,  что отрубил.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #49

46. Сообщение от А (??), 25-Авг-22, 14:33	+/–
Не про удобство, вангую, эта история, а про деманд. Уж насколько подборка фич вызывает удивление, настолько писали не систему, а - откуда ветер подует, так и выйдет. А уж остальное приложилось т.к. иначе ну совсем нельзя.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

47. Сообщение от А (??), 25-Авг-22, 14:34	+/–
Тише, тише, а то ещё и эту ерунду туда притащат, вместо чего-то полезного.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

48. Сообщение от Аноним (48), 25-Авг-22, 14:54	+/–
Манипуляция для дурачков. Посылаешь нахер ыы читаешь нормально опеннетик.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #52

49. Сообщение от Аноним (48), 25-Авг-22, 14:55	+/–
Тюнинг и жор.  Зачем тогда всё это по-умолчанию то гитлаб включает?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #50

50. Сообщение от Sw00p aka Jerom (?), 25-Авг-22, 15:07	+/–
> Тюнинг и жор.  Зачем тогда всё это по-умолчанию то гитлаб включает? вот, отсюда надо взять 4Гб как утверждают гитлабовцы, завести систему из коробки не отключая ничего и проверить, жор будет или нет. Но как мне кажется в 4ГБ не в ходит ресурсы бд.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49 Ответы: #51

51. Сообщение от freehck (ok), 25-Авг-22, 15:51	+/–
>> Тюнинг и жор.  Зачем тогда всё это по-умолчанию то гитлаб включает? Так удобнее. > надо взять 4Гб как утверждают гитлабовцы, завести систему из коробки > не отключая ничего и проверить, жор будет или нет. Есть почти такая машина: 8 гигов рамы, 4 гига свопа. Конфигурация дефолтная: всё на одной машине. Во время пиковой нагрузки потребление 4.1 гигов рамы и почти 1 гиг свопа. С сервером одновременно работают ~70 пользователей, порядка 15 одновременных пайплайнов (раннеры, естественно, на отдельных тачках).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50

52. Сообщение от ыы (?), 26-Авг-22, 12:11	+/–
"Ты мне так безразличен что я тебе обязательно отвечу" :) Ну продолжай.. Продолжай.. :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

53. Сообщение от huhuhu (?), 29-Авг-22, 12:46	+/–
Но ты конечно уже написал замену и естесственно выложил код? Линк же вот прям сейчас дашь да?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

54. Сообщение от huhuhu (?), 29-Авг-22, 12:47	+/–
Пример есть?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема