Épuisement de la mémoire heap dans Gerrit

L'impact principal de cette vulnérabilité est une déni de service (DoS). Un attaquant, en effectuant un grand nombre d'opérations Git sur un serveur Gerrit vulnérable, peut provoquer une saturation de la mémoire vive, rendant le serveur indisponible pour les utilisateurs légitimes. Cette surcharge peut également affecter d'autres services s'ils partagent les mêmes ressources système. Bien qu'il ne s'agisse pas d'une exécution de code à distance, la dégradation de la disponibilité du serveur peut avoir des conséquences significatives pour les équipes de développement et les processus de gestion du code source. L'accumulation progressive de sessions Jetty non gérées rend cette vulnérabilité particulièrement insidieuse, car elle peut passer inaperçue pendant une période prolongée avant de provoquer un incident majeur.

Organizations heavily reliant on Gerrit for code review, particularly those with large development teams or frequent Git activity, are at increased risk. Environments with limited server resources or inadequate monitoring practices are also more vulnerable. Teams using older Gerrit versions without robust session management configurations are particularly exposed.

• java / server:

ps -ef | grep gerrit | grep -v grep | awk '{print $2}' | xargs -I {} jstat -gc {} 2>&1 | grep -i 'HeapUsage' 

• java / server: Monitor Gerrit's memory usage using tools like JConsole or VisualVM. Look for steadily increasing heap usage without corresponding decreases. • java / server: Check Gerrit's Jetty configuration for session timeout settings. Ensure that session timeouts are properly configured to prevent unbounded session creation. • java / server: Review Gerrit logs for errors related to memory allocation or Jetty session management.

1. 2021-02-17Disclosure

   disclosure

1. Réservé2021-01-05
2. Publiée2021-02-17
3. Modifiée2024-09-16
4. EPSS mis à jour2026-04-02

La solution recommandée est de mettre à jour immédiatement votre instance Gerrit vers la version 3.3.2 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il n'existe pas de correctif direct. Une solution de contournement possible consiste à limiter le nombre d'opérations Git simultanées autorisées sur le serveur, bien que cela puisse affecter la productivité des développeurs. Surveillez attentivement l'utilisation de la mémoire vive du serveur Gerrit et configurez des alertes pour détecter une consommation excessive. L'utilisation d'un pare-feu applicatif web (WAF) peut aider à limiter le nombre de requêtes Git suspectes, mais ne constitue pas une solution de remplacement à la mise à jour.