谷歌Gerrit代码平台漏洞致18个项目遭入侵，含ChromiumOS等核心系统
内容提要
安全研究人员发现高危供应链漏洞'GerriScary'（CVE-2025-1568），攻击者可向谷歌18个核心项目注入恶意代码。该漏洞源于Gerrit平台的配置缺陷，允许未授权用户通过复杂攻击链提交恶意代码。谷歌已修复该漏洞，但其他使用Gerrit的组织仍面临风险。
关键要点
-
安全研究人员发现高危供应链漏洞'GerriScary'（CVE-2025-1568），攻击者可向谷歌18个核心项目注入恶意代码。
-
该漏洞源于Gerrit平台的配置缺陷，允许未授权用户通过复杂攻击链提交恶意代码。
-
GerriScary通过三个相互关联的组件实现未授权代码提交，包括默认权限设置、逻辑缺陷和竞争条件漏洞。
-
攻击者可在短暂时间窗口内注入恶意代码，影响范围覆盖多个关键谷歌项目。
-
谷歌已修复该漏洞，重新配置受影响项目的标签持久化设置，限制权限。
-
研究人员警告其他使用Gerrit的组织仍面临风险，可能存在广泛错误配置。
-
受影响项目包括ChromiumOS、Dart、Bazel等多个核心项目。
延伸解读
漏洞影响的广泛性
此次GerriScary漏洞影响了谷歌的多个核心项目，包括ChromiumOS、Dart和Bazel等。这些项目在谷歌的生态系统中扮演着重要角色，任何潜在的恶意代码注入都可能导致严重的安全隐患，影响用户和开发者的信任。
修复措施的有效性
谷歌在发现漏洞后迅速采取了修复措施，包括重新配置受影响项目的权限设置。这表明谷歌对安全问题的重视，但其他使用Gerrit的组织仍需警惕，确保自身配置的正确性，以防类似攻击。
配置错误的风险
研究人员指出，Gerrit生态系统中可能存在广泛的错误配置，导致其他组织面临供应链攻击的风险。组织应定期审查和更新其代码审查平台的配置，以降低潜在的安全威胁。
延伸问答
GerriScary漏洞是什么？
GerriScary漏洞（CVE-2025-1568）是一个高危供应链漏洞，攻击者可以利用它向谷歌的多个核心项目注入恶意代码。
GerriScary漏洞是如何被利用的？
该漏洞利用Gerrit平台的配置缺陷，允许未授权用户通过复杂的攻击链提交恶意代码，主要依赖于默认权限设置和逻辑缺陷。
哪些项目受到了GerriScary漏洞的影响？
受影响的项目包括ChromiumOS、Dart、Bazel等至少18个谷歌核心项目。
谷歌是如何应对GerriScary漏洞的？
谷歌已修复该漏洞，重新配置受影响项目的标签持久化设置，并限制了权限，以防止未授权代码提交。
其他使用Gerrit的组织面临什么风险？
其他使用Gerrit的组织仍面临风险，可能存在广泛的错误配置，导致供应链攻击的可能性。
GerriScary漏洞的攻击链是怎样的？
攻击链包括监控满足提交条件的代码变更，并利用竞争条件漏洞在短暂时间窗口内注入恶意代码。
