مطورو توزيعة Alpine Linux كشفوا عن معلومات حول محاولات اختراق منصة التطوير التعاوني gitlab.alpinelinux.org، حيث جرى العمل على مدير حزم APK، وأدوات البناء، ومكونات البنية التحتية، ونصوص بناء الحزم (aports). نُفذ الهجوم باستغلال ثغرة أمنية في منصة GitLab ناتجة عن تجاوز سعة عدد صحيح في محرك التعبيرات النمطية للغة Ruby. لم يُعثر على أي دليل أو أثر لاختراق ناجح، ولكن نظرًا لاستحالة استبعاد استغلال الثغرة الأمنية بشكل كامل، اعتُبرت حاوية GitLab مُعرّضة للاختراق، وأُعيد بناء محتوياتها بالكامل من الصفر، وبدأ إجراء إعادة تعيين كلمات المرور للمستخدمين.
مديرو البنية التحتية في جبال الألب Linux لم يتم رصد أي ملفات خارجية، أو عمليات تشغيل مشبوهة، أو استدعاءات غير معتادة لواجهة برمجة التطبيقات، أو تغييرات في الإعدادات أو ملفات النظام، أو ارتفاعات مفاجئة في الحمل تُشير إلى استخراج كميات كبيرة من البيانات. كما كشف تحليل سلامة مستودع aports، والحزم، وملفات الإصدار، بالإضافة إلى التحقق منها بمقارنتها بنسخ من خوادم بناء خارجية وأنظمة المطورين، عن عدم وجود أي تغييرات خفية.
إن عدم وجود معلومات حول اتصالات الشبكة الصادرة، وحذف بعض السجلات أثناء التدوير (على سبيل المثال، سجل cron)، وعدم وجود تفاصيل كافية في سجلات خادم الويب (الاستخدام الناجح لثغرة لا تؤدي إلى تعطل النظام لا ينعكس في السجل) يجعل من المستحيل استبعاد الهجوم الناجح تمامًا.
في حال نجاح الهجوم، سيتمكن المهاجمون من الوصول إلى قاعدة البيانات التي تحتوي على بيانات جميع مستخدمي GitLab (تجزئات كلمات المرور، والبريد الإلكتروني، عنوان IP إلخ)، ومتغيرات البيئة والرموز المميزة من أنظمة التكامل المستمر، ورموز المصادقة الثنائية، وتجزئات رموز الوصول الشخصية، ومحتويات المستودعات الخاصة، والمناقشات السرية حول المشكلات. مفاتيح إنشاء التوقيعات الرقمية للإصدارات والحزم على الخادم المستهدف. الخادم لم يتم تخزينها.
سُجّلت أولى محاولات استغلال الثغرة الأمنية في 20 و21 أكتوبر. أنشأ المهاجم حسابًا على منصة GitLab وحاول إرسال إعدادات مُعدّلة إلى نظام التكامل المستمر. سجّلت السجلات ثمانية أعطال في عمليات GitLab، أربعة منها مرتبطة بالاستغلال. نجحت المرحلة الأولى من الاستغلال، لكن المرحلة الثانية فشلت.
عند وقوع الهجوم، كان الحاوية تعمل بإصدار مُعرّض للاختراق من GitLab 19.3.4، والذي تم تحديثه إلى GitLab 19.3.6 في 22 أكتوبر. مع ذلك، أغفل مسؤولو Alpine أن الإصلاح كان مُضمّنًا فقط في حزم تثبيت GitLab 19.3.6 الرسمية، وليس في كود GitLab نفسه، نظرًا لوجود الثغرة الأمنية في مجموعة أدوات Ruby. استمرت الحاوية في استخدام مجموعة أدوات Ruby القديمة، وبقيت الثغرة الأمنية دون إصلاح.
لم يُكتشف الثغرة الأمنية المتبقية إلا في 26 أكتوبر. وكشف تحليل السجلات أن المهاجمين استأنفوا هجماتهم في 25 و26 أكتوبر. وفي 27 أكتوبر، تم تقييد وصول جهات خارجية إلى GitLab. وفي 28 أكتوبر، أُعيد بناء المحتويات، وأُعيد تعيين جميع كلمات المرور (حيث طُلب من المستخدمين تعيين كلمة مرور جديدة عبر إجراء استعادة كلمة المرور المفقودة)، واستُبدلت مفاتيح الوصول. وفي 29 أكتوبر، تم تحديث الخادم تم تشغيله. وظلت حاوية Docker المسماة alpinelinux/gitlab، والتي كان المشروع يتولى صيانتها، عرضة للاختراق حتى 27 أكتوبر.
المصدر: opennet.ru
