security - GitLab Omnibus SSL 漏洞 (Heartbleed)

Question

我通过Ubuntu 12.04 LTE 上的综合包安装了 GitLab 6.6.5 。我的问题是 Ubuntu OpenSSL heartbleed 更新会涵盖 GitLab 的安装吗？安装有一个已安装的嵌入式 nginx。我通过GitLab Omnibus Merge Request #66启用了 SSL 。

Answer 1

拥有嵌入式 NGinX 并不意味着它不会使用/usr/bin/openssl您系统上安装的。（例如，ngx_http_ssl_module确实需要 openssl）

如果该 openssl 是 1.0.1g 或 1.0.2，则不会有任何问题。

openssl version

如果没有，重新编译并安装它很容易。

可以肯定的是，您可以键入：

ldd /path/to/nginx

这将为您提供二进制文件使用的 openssl 路径nginx。
要获得完整路径，您可以使用

readlink -f /path/to/libssl.so.1.0.0

---

布鲁诺在评论中补充道：

它可能/lib/*/libssl.so.1.0.0比/usr/bin/openssl（这ldd确实应该表明）更多。
原则上，升级到带有修复程序的软件包并重新启动 NGinX 应该可以解决问题。

另请注意，分发包（例如 Ubuntu）中的版本号不一定与官方版本号完全匹配，因为它们倾向于保持相同的版本号（对于相同的功能），但向后移植安全补丁

---

OP crushedGrass在评论中指出 Jacob Vosmaer ( jacobvosmaer)的提交“更新综合软件 (CVE-2014-0160)”，在 综合 gitlab 中

所以我所要做的就是运行重新配置。
我相信您和 Bruno 的反馈都是正确的，只是需要匹配更多的依赖项。
GitLab 使用 Chef 食谱来配置设置，但我对它的了解肯定不够多，无法在下游对其进行修改。

Answer 2

很清楚：

-> # ldd /opt/gitlab/embedded/sbin/nginx
...
libssl.so.1.0.0 => /opt/gitlab/embedded/lib/libssl.so.1.0.0 (0x00007fe3cf8f9000)
libcrypto.so.1.0.0 => /opt/gitlab/embedded/lib/libcrypto.so.1.0.0 (0x00007fe3cf520000)
...

Gitlab 综合使用自己捆绑的 OpenSSL。apt-get update不会更新和保护 gitlab 综合的安装。