谷歌Gerrit代码平台漏洞致18个项目遭入侵，含ChromiumOS等核心系统
💡
原文中文，约2700字，阅读约需7分钟。
📝
内容提要
安全研究人员发现高危供应链漏洞'GerriScary'（CVE-2025-1568），攻击者可向谷歌18个核心项目注入恶意代码。该漏洞源于Gerrit平台的配置缺陷，允许未授权用户通过复杂攻击链提交恶意代码。谷歌已修复该漏洞，但其他使用Gerrit的组织仍面临风险。
🎯
关键要点
- 安全研究人员发现高危供应链漏洞'GerriScary'（CVE-2025-1568），攻击者可向谷歌18个核心项目注入恶意代码。
- 该漏洞源于Gerrit平台的配置缺陷，允许未授权用户通过复杂攻击链提交恶意代码。
- GerriScary通过三个相互关联的组件实现未授权代码提交，包括默认权限设置、逻辑缺陷和竞争条件漏洞。
- 攻击者可在短暂时间窗口内注入恶意代码，影响范围覆盖多个关键谷歌项目。
- 谷歌已修复该漏洞，重新配置受影响项目的标签持久化设置，限制权限。
- 研究人员警告其他使用Gerrit的组织仍面临风险，可能存在广泛错误配置。
- 受影响项目包括ChromiumOS、Dart、Bazel等多个核心项目。
❓
延伸问答
GerriScary漏洞是什么？
GerriScary漏洞（CVE-2025-1568）是一个高危供应链漏洞，攻击者可以利用它向谷歌的多个核心项目注入恶意代码。
GerriScary漏洞是如何被利用的？
该漏洞利用Gerrit平台的配置缺陷，允许未授权用户通过复杂的攻击链提交恶意代码，主要依赖于默认权限设置和逻辑缺陷。
哪些项目受到了GerriScary漏洞的影响？
受影响的项目包括ChromiumOS、Dart、Bazel等至少18个谷歌核心项目。
谷歌是如何应对GerriScary漏洞的？
谷歌已修复该漏洞，重新配置受影响项目的标签持久化设置，并限制了权限，以防止未授权代码提交。
其他使用Gerrit的组织面临什么风险？
其他使用Gerrit的组织仍面临风险，可能存在广泛的错误配置，导致供应链攻击的可能性。
GerriScary漏洞的攻击链是怎样的？
攻击链包括监控满足提交条件的代码变更，并利用竞争条件漏洞在短暂时间窗口内注入恶意代码。
🏷️
标签
➡️
