常见问题：RegreSSHion 漏洞与 GitLab
内容提要
RegreSSHion (CVE-2024-6387)是OpenSSH服务器中的远程未经身份验证的代码执行漏洞，允许攻击者在基于glibc的Linux系统上以root身份执行代码。GitLab.com和GitLab Dedicated不受影响，但自托管实例可能需要补丁。未打补丁的环境由于漏洞的性质而风险较低。GitLab建议定期打补丁，使用强密码和多因素身份验证。GitLab.com和GitLab Dedicated使用的gitlab-sshd不受漏洞影响。加固建议包括使用gitlab-sshd，遵循指南，并在配置文件中设置特定值。该漏洞在实际环境中的潜在影响较低。
延伸解读
自托管实例的补丁与配置要点
自托管 GitLab 实例可能受 RegreSSHion 影响，需根据环境决定是否打补丁。若云提供商维护底层操作系统，则环境安全；若自行维护，应安装最新补丁。此外，可配置使用 gitlab-sshd，它不受该漏洞影响。若实例不对外开放，风险大幅降低。自行管理的 Docker 容器也建议打补丁。
缓解措施与加固建议
未打补丁的环境风险较低，但仍建议定期打补丁、使用强密码和多因素认证。遵循 GitLab 加固建议，例如设置 /etc/ssh/ssh_config 中的特定值，可能使攻击代码失败；调整 /etc/sysctl.conf 设置可增加利用难度。注意：将 LoginGraceTime 设为 0 虽可避免漏洞，但会引入拒绝服务风险，建议设为 60 秒，这能使攻击所需时间加倍。
实际攻击难度与影响评估
RegreSSHion 攻击在 Qualys 实验室环境中开发测试，成功条件苛刻：在旧 CPU 上每 10,000 次尝试才可能成功一次，耗时数小时；现代 CPU 上可能需一周以上。在开放互联网中，正常流量和延迟会进一步降低成功率。尽管一旦成功后果严重（攻击者可远程执行任意命令），但实际环境中成功几率极低。
Q&A
RegreSSHion 漏洞是什么？
RegreSSHion (CVE-2024-6387) 是 OpenSSH 服务器中的远程未经身份验证的代码执行漏洞，允许攻击者在基于 glibc 的 Linux 系统上以 root 身份执行代码。
GitLab 用户会受到 RegreSSHion 漏洞的影响吗？
GitLab.com 和 GitLab Dedicated 不受 RegreSSHion 影响，因为它们使用的 gitlab-sshd 不存在此漏洞。自托管实例可能需要补丁。
如何降低 RegreSSHion 漏洞的风险？
建议定期打补丁、使用强密码和多因素身份验证，并遵循 GitLab 加固建议。
GitLab 如何监控 RegreSSHion 漏洞？
GitLab 正在监控 RegreSSHion，并已实施正常的监控和防御措施，以检测潜在的攻击。
使用 gitlab-sshd 有什么好处？
gitlab-sshd 是用 Go 语言编写的，相对安全，不受 RegreSSHion 漏洞影响，易于配置。
RegreSSHion 漏洞的潜在影响有多大？
尽管 RegreSSHion 漏洞可能导致严重后果，但在实际环境中成功攻击的几率极小。
