Die ontwikkelaars van die Alpine-verspreiding Linux Hulle het inligting bekend gemaak oor pogings om die gitlab.alpinelinux.org samewerkende ontwikkelingsplatform te kap, waar werk aan die APK-pakketbestuurder, bougereedskap, infrastruktuurkomponente en pakketbouskripte (aports) uitgevoer is. Die aanval is uitgevoer deur 'n kwesbaarheid in die GitLab-platform te benut wat veroorsaak is deur 'n heelgetal-oorloop in die Ruby-gewone uitdrukkingsenjin. Geen bewyse of spore van 'n suksesvolle kaping is gevind nie, maar aangesien dit onmoontlik is om suksesvolle uitbuiting van die kwesbaarheid heeltemal uit te sluit, is die GitLab-houer as moontlik gekompromitteer beskou en die inhoud daarvan is heeltemal van nuuts af herbou, en 'n wagwoordherstelprosedure is vir gebruikers begin.
Alpynse Infrastruktuuradministrateurs Linux Geen derdeparty-lêers, verdagte lopende prosesse, ongewone API-oproepe, veranderinge aan instellings of stelsellêers, of laai-stygings tipies van massa-data-onttrekking is opgespoor nie. 'n Analise van die integriteit van die aports-bewaarplek, pakkette en vrystellingslêers, sowel as hul verifikasie teen kopieë van eksterne boubedieners en ontwikkelaarstelsels, het geen verborge veranderinge aan die lig gebring nie.
Die gebrek aan inligting oor uitgaande netwerkverbindings, die verwydering van sommige logs tydens rotasie (byvoorbeeld die cron-log), en die gebrek aan voldoende detail in die webbedienerlogs (suksesvolle gebruik van 'n aanval wat nie tot 'n ineenstorting lei nie, word nie in die log weerspieël nie) maak dit onmoontlik om 'n suksesvolle aanval heeltemal uit te sluit.
Indien die aanval suksesvol was, kon die aanvallers toegang verkry tot die databasis wat data oor alle GitLab-gebruikers bevat (wagwoord-hashes, e-pos, IP-adresse ens.), omgewingveranderlikes en tokens van deurlopende integrasiestelsels, tweefaktor-verifikasiekodes, hashes van persoonlike toegangstokens, die inhoud van private bewaarplekke en vertroulike besprekings van kwessies. Sleutels vir die generering van digitale handtekeninge vir vrystellings en pakkette op die aangevalde bediener. bediener is nie gestoor nie.
Die eerste pogings om die kwesbaarheid te benut, is op 20 en 21 Oktober aangeteken. Die aanvaller het 'n GitLab-rekening geregistreer en probeer om gewysigde instellings na die deurlopende integrasiestelsel te stuur. Die logboeke het agt GitLab-prosesineineenstortings aangeteken, waarvan vier met die aanval verband hou. Die eerste fase van die aanval was suksesvol, maar die tweede fase het misluk.
Ten tyde van die aanval het die houer 'n kwesbare weergawe van GitLab 19.3.4 laat loop, wat op 22 Oktober na GitLab 19.3.6 opgedateer is. Alpine-administrateurs het egter nie in ag geneem dat die regstelling slegs in die amptelike GitLab 19.3.6-installasiepakkette ingesluit was nie, nie in die GitLab-kode self nie, aangesien die kwesbaarheid in die Ruby-gereedskapsketting teenwoordig is. Die houer het voortgegaan om die ouer Ruby-gereedskapsketting te gebruik, en die kwesbaarheid het ongedateer gebly.
Die oorblywende kwesbaarheid is eers op 26 Oktober ontdek. Analise van logboeke het aan die lig gebring dat die aanvallers hul aanvalle op 25 en 26 Oktober hervat het. Op 27 Oktober is toegang van derde partye tot GitLab beperk. Op 28 Oktober is die inhoud herbou, alle wagwoorde is herstel (gebruikers moes 'n nuwe wagwoord stel via die vergete wagwoordherwinningsprosedure), en toegangsleutels is vervang. Op 29 Oktober is 'n opgedateerde bediener is in werking gestel. Die Docker-houer alpinelinux/gitlab, wat deur die projek onderhou is, het kwesbaar gebly tot 27 Oktober.
Bron: opennet.ru
