Дупка в Gitea влезе в каталога на активно експлоатираните, а поправка още няма

Gitea е от тихия софтуер. Стои отстрани, пази кода и никой не се сеща за него, докато работи.

От 25 август не е тихо.

Кое прави тая дупка неудобна

Обичайният съвет при такава новина е една дума: обнови. Тук няма какво да обновиш.

Условието за атаката е право на запис, тоест дупката не се отваря от улицата. Иска акаунт или жетон, който вече може да пише в хранилище. Оттам обаче тръгва всичко: кукичката се изпълнява от самия Git при следващото бутане и носи каквото ѝ е написано, без да пита.

Хранилището с кода не е още една услуга. То е мястото, откъдето тръгва всичко останало.

Какво се прави, докато няма кръпка

Гледа се достъпът. Кой има право на запис и още ли му трябва, кои жетони са живи, кога за последно са ползвани и кои падат днес.

После се проверява дали кукичка вече не е сложена: обхожда се папката с кукичките на хранилищата и се гледа какво стои вътре и откога е там.

И се стеснява кой изобщо стига до порта. Вътрешен git, който слуша на всички интерфейси, е широк по навик, а не по нужда.

Пишем това и от своя страна на масата. Караме Gitea, нашето е вътрешно и без път от интернет, и това сваля половината тежест; другата половина е работа за седмицата.

Обновяваш в деня, в който излезе; дотогава стесняваш кръга.

Визуалът към статията е генериран код-арт, без чужди изображения.