SonarQube 漏洞不影响 Gitee 代码扫描的正常使用
SonarQube 是一款开源的代码质量管理系统,提供软件代码审计功能。SonarQube 默认配置下, 未对其 API 接口进行任何访问控制,导致可不经认证通过互联网下载该系统审计过的程序源代码。另外,该系统默认管理员凭据是弱口令,如未更改,极易被利用来直接登录获得该系统审计过的源代码。
目前已有攻击者利用相关漏洞窃取源码的事件发生,许多开发者也很关心集成了 SonarQube 服务的 Gitee 是否也存在安全风险,在此 Gitee 官方也向广大开发者给出明确的答复:
「Gitee 并不受 SonarQube 的漏洞影响,请大家放心使用。」
首先,Gitee 的 SonarQube 服务进行了访问控制的配置,「访问 API 必须要携带认证 Token」,并且管理员账号的口令符合一定的密码复杂度。
其次,Gitee 的 SonarQube 服务只允许内网服务间的访问,「通过严格端到端的仓库验证确保返回信息的一致性」,并且在网络层面做了严格的防火墙访问控制。
「安全与稳定」始终是 Gitee 向广大开发者提供服务的重要前提,也是 Gitee 团队放在首位的服务目标。
为了保证服务的安全性与稳定性,Gitee 在对内对外均有严格的安全规范及标准操作流程,保证了上线八年期间「代码零丢失」,点击后面的链接查看 Gitee 的安全策略:
本文系作者 @Gitee 原创发布在 Gitee 官方博客。未经许可,禁止转载。