Gerrit 中的堆内存耗尽 (Heap Memory exhaustion)

此漏洞允许攻击者通过执行大量 Git 操作来耗尽 Gerrit 服务器的内存资源。攻击者无需身份验证即可触发此问题，因为所有 Git 操作都通过 Jetty 传递。当服务器内存耗尽时，可能导致服务中断、性能下降，甚至服务器崩溃。在严重情况下，这可能导致数据丢失或未经授权的访问。由于该漏洞无需身份验证即可触发，因此潜在的攻击面非常广阔，可能影响所有运行受影响版本 Gerrit 的系统。

Organizations heavily reliant on Gerrit for code review, particularly those with large development teams or frequent Git activity, are at increased risk. Environments with limited server resources or inadequate monitoring practices are also more vulnerable. Teams using older Gerrit versions without robust session management configurations are particularly exposed.

• java / server:

ps -ef | grep gerrit | grep -v grep | awk '{print $2}' | xargs -I {} jstat -gc {} 2>&1 | grep -i 'HeapUsage' 

• java / server: Monitor Gerrit's memory usage using tools like JConsole or VisualVM. Look for steadily increasing heap usage without corresponding decreases. • java / server: Check Gerrit's Jetty configuration for session timeout settings. Ensure that session timeouts are properly configured to prevent unbounded session creation. • java / server: Review Gerrit logs for errors related to memory allocation or Jetty session management.

1. 2021-02-17Disclosure

   disclosure

1. 已保留2021-01-05
2. 发布日期2021-02-17
3. 修改日期2024-09-16
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 Gerrit 升级至 3.3.2 或更高版本。如果无法立即升级，可以尝试限制单个用户可以执行的 Git 操作数量，以减少内存消耗。此外，可以监控 Gerrit 服务器的内存使用情况，并在内存使用率达到阈值时采取措施。虽然没有直接的 WAF 或代理规则可以完全阻止此漏洞，但可以配置监控系统来检测异常的内存使用模式，并发出警报。升级后，请确认 Gerrit 服务器的内存使用情况恢复正常，并验证 Git 操作是否正常运行。