Нападачи могу даљински да извршавају ОС команде искоришћавањем ове рањивости ГитЛаб-а

Чини се да без обзира на то на коју дужину су компаније спремне да обезбеде своје производе, нападачи су увек корак испред и проналазе генијалне начине да заобиђу сву заштиту.

У овом онлајн свету који се стално мења, све је више заштита ваших осетљивих података тешко и ми смо овде да вам кажемо о још једној рањивости која се активно искоришћава дивљина.

Још једна рањивост ГитЛаб-а која се активно експлоатише у дивљини

Према ХН Сецурити, два сумњива корисничка налога са администраторским правима су пронађена на Интернету изложеном ГитЛаб ЦЕ серверу.

Очигледно, ова два корисника су регистрована између јуна и јула 2021. са насумичним корисничким именима. Ово је било могуће јер ова верзија ГитЛаб ЦЕ подразумевано дозвољава регистрацију корисника.

Штавише, адреса е-поште која је наведена током регистрације није подразумевано верификована. То значи да се новокреирани корисник аутоматски пријављује без икаквих даљих корака.

Да ствар буде компликованија, администраторима се не шаљу апсолутно никаква обавештења.

Један од отпремљених прилога привукао је пажњу стручњака, па су поставили сопствени ГитЛаб сервер и заправо покушали да реплицирају оно што су приметили у дивљини.

Недавно објављен експлоат за ЦВЕ-2021-22205 злоупотребљава функцију отпремања како би даљински извршио произвољне команде ОС-а.

Горе поменута рањивост се налази у ЕкифТоол-у, алату отвореног кода који се користи за уклањање метаподатака са слика, који не успева у рашчлањивању одређених метаподатака уграђених у отпремљену слику.

ГитЛаб се састоји од више елемената, као што су Редис и Нгинк. Онај који обрађује отпремање се зове гитлаб-воркхорсе, који заузврат позива ЕкифТоол пре него што проследи коначни прилог Раилс-у.

Копајући дубље у евиденцију, мало је откривен доказ о два неуспела отпремања у евиденцији Воркхорсе-а.

Овај корисни терет који користи јавни експлоат може да изврши обрнуту шкољку, док је онај који се користи против нашег клијента једноставно ескалирао права два претходно регистрована корисника на администратора.

ецхо 'усер = Усер.финд_би (корисничко име: "цзквцкбкцвбнвцквбкв");усер.админ="труе";усер.саве!' | гитлаб-раилс конзола /уср/бин/ецхо дКСНлциА9ИФВзЗКСИуЗмлуЗФ9иеСх1ц2ВибмФтЗТогИмН6еХЗјеГЈ4И3ЗибнЗјеХЗиеХИиКТт1ц2ВиЛмФкбВлуПСЈ0цнВлИјт1ц2ВиЛнНхдмУх | басе64 -д | /уср/бин/гитлаб-раилс конзола

Дакле, у суштини, оно што је изгледало као рањивост ескалације привилегија, заправо се показало као рањивост РЦЕ-а.

Како су стручњаци за безбедност објаснили, цео процес експлоатације се своди на само два захтева.

На подразумеваној ГитЛаб инсталацији (до верзије 13.10.2) нема потребе да злоупотребљавате АПИ да бисте пронашли важећи пројекат, нема потребе да отварате проблем, и што је најважније нема потребе за аутентификацијом.

Све рањивости описане у чланку (ЕкифТоол, злоупотреба АПИ-ја, регистрација корисника, итд.) нису присутне у најновијој ГитЛаб ЦЕ верзији у време писања.

Међутим, препоручујемо вам да будете опрезни када се бавите било чим што укључује да сте на мрежи како не бисте имали несрећна искуства.

Шта мислите о овој ситуацији? Поделите своје мишљење са нама у одељку за коментаре испод.