1. GitLab предупредил об уязвимости максимальной серьёзности для выполнения кода
GitLab сообщил о проблеме максимального уровня опасности, которая позволяет выполнить код. Детали не раскрыты: известно только то, что есть в заголовке.
#gitlab
10. Вредоносные npm-пакеты с GitLab-ключами и многостадийной загрузкой
Злоумышленник через учётные записи alex05255 и другие опубликовал пакеты (svg-fetcher, tradepilot, font-huge и др.) с многостадийной логикой: конкатенация C2-URL, загрузка обфусцированного JS-однострочника, сбор информации о системе через веб-сокет. В релизах с токенами 106 и 116 найдены вшитые публичный и приватный ключи GitLab — предположительно, для CI/CD-пайплайна обфускации.
11. DRI: кто виноват, если проект сгорел
Simon Willison копает термин Directly Responsible Individual и находит его формальное описание в handbook GitLab: это человек, который в итоге отвечает за успех или провал конкретной инициативы. Он также напоминает, что термин связывают с Apple. Полезная штука для компаний, где все «владеют» продуктом, но внезапно никто не отвечает, когда всё ломается.