我在 Ubuntu 12.04 LTE 上通过 omnibus package 安装了 GitLab 6.6.5。我的问题是 Ubuntu OpenSSL heartbleed 更新会涵盖 GitLab 的安装吗？安装有一个已安装的嵌入式 nginx。我已经通过GitLab Omnibus Merge Request #66 启用了 SSL。
【问题讨论】：
标签： security ssl gitlab heartbleed-bug
拥有嵌入式 NGinX 并不意味着它不会使用您系统上安装的 /usr/bin/openssl。 （例如，ngx_http_ssl_module 确实需要 openssl）
如果那个 openssl 是 1.0.1g 或 1.0.2，你不会有任何问题。
openssl version
如果没有，重新编译并安装它很容易。
当然，您可以输入：
ldd /path/to/nginx
这将为您提供二进制文件 nginx 使用的 openssl 路径。
要获取完整路径，您可以使用
readlink -f /path/to/libssl.so.1.0.0
这可能更多是关于
/lib/*/libssl.so.1.0.0而不是/usr/bin/openssl（ldd确实应该表明这一点）。
原则上，升级到带有修复程序的包并重新启动 NGinX 应该可以解决问题。另请注意，分发包（例如 Ubuntu）中的版本号不一定与官方版本号完全匹配，因为它们倾向于保持相同的版本号（对于相同的功能），但会向后移植安全补丁
OP crushedGrass 指出in the comments Jacob Vosmaer (jacobvosmaer) 的commit "Update omnibus-software (CVE-2014-0160)"，在omnibus-gitlab 中
所以我所要做的就是重新配置。
我相信您和 Bruno 的反馈都是正确的，只是需要匹配更多的依赖项。
GitLab 使用 Chef 食谱来配置设置，但我对它的了解肯定不够多，无法在下游对其进行修改。
【讨论】：
/lib/*/libssl.so.1.0.0 而不是/usr/bin/openssl（ldd 确实应该表明这一点）。原则上，升级到带有修复和重新启动 NGinX 的软件包应该可以解决问题。另请注意，分发包（例如 Ubuntu）中的版本号不一定与官方版本号完全匹配，因为它们倾向于保持相同的版本号（对于相同的功能），但会向后移植安全补丁。
/opt/gitlab/embedded/lib/libssl.so.1.0.0 替换为 /lib/*/libssl.so.1.0.0。使用 gitlab-ctl restart 重新启动堆栈后，我得到的只是 502 错误。我注意到 GitLab 包在 /opt/gitlab/bin/ 中使用了它自己的 openssl
/lib/*/libssl.so.1.0.0 是一种捷径，可以说：“它在/lib 的某处”：它不是您可以复制粘贴的路径。如果 GitLab 使用自己的 openssl，只需键入 /opt/gitlab/bin/openssl version 即可检查其版本，看看您是否容易受到此错误的影响。
很清楚：
-> # ldd /opt/gitlab/embedded/sbin/nginx
...
libssl.so.1.0.0 => /opt/gitlab/embedded/lib/libssl.so.1.0.0 (0x00007fe3cf8f9000)
libcrypto.so.1.0.0 => /opt/gitlab/embedded/lib/libcrypto.so.1.0.0 (0x00007fe3cf520000)
...
Gitlab 综合使用自己捆绑的 OpenSSL。 apt-get update 不会更新和保护 gitlab 综合的安装。
【讨论】：