የአልፕስ ስርጭት ገንቢዎች Linux የ gitlab.alpinelinux.org የትብብር ልማት መድረክን ለመጥለፍ የተደረጉ ሙከራዎችን በተመለከተ መረጃ ይፋ አድርገዋል፣ እዚያም በኤፒኬ ፓኬጅ አስተዳዳሪ፣ የግንባታ መሳሪያዎች፣ የመሠረተ ልማት ክፍሎች እና የጥቅል ግንባታ ስክሪፕቶች (አፖርቶች) ላይ ሥራ ተከናውኗል። ጥቃቱ የተፈፀመው በ GitLab መድረክ ውስጥ ባለው ተጋላጭነት ምክንያት በሩቢ መደበኛ አገላለጽ ሞተር ውስጥ ኢንቲጀር ሞልቶ በመፍሰሱ ነው። የተሳካ ጠለፋ የሚያሳይ ማስረጃ ወይም ዱካ አልተገኘም፣ ነገር ግን የተጋላጭነት ስኬታማ አጠቃቀምን ሙሉ በሙሉ ማስወገድ የማይቻል ስለሆነ የ GitLab ኮንቴይነር ሊጎዳ እንደሚችል ተቆጥሮ ይዘቱ ከባዶ ሙሉ በሙሉ እንደገና ተገንብቷል፣ እና ለተጠቃሚዎች የይለፍ ቃል ዳግም ማስጀመር ሂደት ተጀመረ።
የአልፕስ መሠረተ ልማት አስተዳዳሪዎች Linux የሶስተኛ ወገን ፋይሎች፣ አጠራጣሪ የማስኬድ ሂደቶች፣ ያልተለመዱ የኤፒአይ ጥሪዎች፣ በቅንብሮች ወይም በስርዓት ፋይሎች ላይ የተደረጉ ለውጦች ወይም የጅምላ ውሂብ ማውጣት የተለመዱ የጭነት ጭማሪዎች አልተገኙም። የ aports ማከማቻ፣ ፓኬጆች እና የልቀት ፋይሎች ትክክለኛነት እንዲሁም ከውጫዊ የግንባታ አገልጋዮች እና ከገንቢ ስርዓቶች ቅጂዎች ጋር ያላቸውን ማረጋገጫ በመተንተን ምንም የተደበቁ ለውጦችን አላሳየም።
ስለ ወጪ አውታረ መረብ ግንኙነቶች መረጃ አለመኖር፣ በማሽከርከር ወቅት አንዳንድ ምዝግብ ማስታወሻዎችን መሰረዝ (ለምሳሌ፣ የክሮን ምዝግብ ማስታወሻ) እና በድር አገልጋይ ምዝግብ ማስታወሻዎች ውስጥ በቂ ዝርዝር አለመኖር (ብልሽት የማያመጣ ብዝበዛ በተሳካ ሁኔታ መጠቀም በምዝግብ ማስታወሻው ውስጥ አይንጸባረቅም) የተሳካ ጥቃትን ሙሉ በሙሉ ለማስወገድ የማይቻል ያደርገዋል።
ጥቃቱ ከተሳካ፣ አጥቂዎቹ በሁሉም የGitLab ተጠቃሚዎች ላይ ያለውን መረጃ የያዘውን የውሂብ ጎታ ማግኘት ይችሉ ነበር (የይለፍ ቃል ሃሽ፣ ኢሜይል፣ የአይፒ አድራሻዎች ወዘተ.)፣ ከቀጣይ ውህደት ስርዓቶች የተገኙ የአካባቢ ተለዋዋጮች እና ቶከኖች፣ ባለ ሁለት ደረጃ ማረጋገጫ ኮዶች፣ የግል መዳረሻ ቶከኖች ሃሾች፣ የግል ማከማቻዎች ይዘቶች እና የጉዳዮች ሚስጥራዊ ውይይቶች። በተጠቂው አገልጋይ ላይ ልቀቶችን እና ፓኬጆችን ለማመንጨት ቁልፎች። አገልጋይ አልተቀመጡም።
ተጋላጭነቱን ለመበዝበዝ የመጀመሪያዎቹ ሙከራዎች የተመዘገቡት በጥቅምት 20 እና 21 ነው። አጥቂው የGitLab መለያ አስመዝግቦ ወደ ቀጣይነት ያለው ውህደት ስርዓት የተሻሻሉ ቅንብሮችን ለመላክ ሞክሯል። ምዝግብ ማስታወሻዎቹ ስምንት የGitLab ሂደት ብልሽቶችን መዝግበዋል፣ ከእነዚህም ውስጥ አራቱ ከብዝበዛው ጋር የተያያዙ ነበሩ። የብዝበዛው የመጀመሪያ ምዕራፍ ስኬታማ ነበር፣ ነገር ግን ሁለተኛው ደረጃ አልተሳካም።
በጥቃቱ ወቅት ኮንቴይነሩ የGitLab 19.3.4 ተጋላጭ ስሪት እያስኬደ ነበር፣ ይህም በጥቅምት 22 ወደ GitLab 19.3.6 ተዘምኗል። ሆኖም የአልፕስ አስተዳዳሪዎች ችግሩ በGitLab ኮድ ውስጥ ሳይሆን በይፋዊው የGitLab 19.3.6 የመጫኛ ፓኬጆች ውስጥ ብቻ የተካተተ መሆኑን ግምት ውስጥ አላስገቡም፣ ምክንያቱም ተጋላጭነቱ በሩቢ የመሳሪያ ሰንሰለት ውስጥ ይገኛል። ኮንቴይነሩ የድሮውን የRuby የመሳሪያ ሰንሰለት መጠቀሙን ቀጥሏል፣ እና ተጋላጭነቱ አልተስተካከለም።
የቀረው ተጋላጭነት የተገኘው በጥቅምት 26 ብቻ ነው። የምዝግብ ማስታወሻዎች ትንተና እንደሚያሳየው አጥቂዎቹ ጥቃታቸውን በጥቅምት 25 እና 26 እንደቀጠሉ ነው። በጥቅምት 27፣ የሶስተኛ ወገን የጊትላብ መዳረሻ ተገድቧል። በጥቅምት 28፣ ይዘቱ እንደገና ተገንብቷል፣ ሁሉም የይለፍ ቃላት ዳግም ተጀምረዋል (ተጠቃሚዎች በተረሳው የይለፍ ቃል መልሶ ማግኛ ሂደት አዲስ የይለፍ ቃል እንዲያዘጋጁ ይጠበቅባቸው ነበር)፣ እና የመዳረሻ ቁልፎች ተተኩ። በጥቅምት 29፣ የተሻሻለ አገልጋይ ስራ ላይ ውሏል። በፕሮጀክቱ የሚጠበቀው የዶከር ኮንቴይነር አልፓይንሊኑክስ/ጊትላብ እስከ ጥቅምት 27 ድረስ ተጋላጭ ሆኖ ቆይቷል።
ምንጭ: opennet.ru
