Programeri Alpine distribucije Linux Otkrili su informacije o pokušajima hakovanja platforme za kolaborativni razvoj gitlab.alpinelinux.org, gdje je proveden rad na upravitelju APK paketa, alatima za izgradnju, komponentama infrastrukture i skriptama za izgradnju paketa (aports). Napad je izveden iskorištavanjem ranjivosti u GitLab platformi uzrokovane prekoračenjem cijelog broja u mehanizmu regularnih izraza Ruby. Nisu pronađeni dokazi niti tragovi uspješnog hakovanja, ali budući da je nemoguće u potpunosti isključiti uspješno iskorištavanje ranjivosti, GitLab kontejner je smatran potencijalno kompromitiranim i njegov sadržaj je potpuno obnovljen od nule, a za korisnike je pokrenuta procedura resetiranja lozinke.
Administratori alpske infrastrukture Linux Nisu otkrivene datoteke trećih strana, sumnjivi pokrenuti procesi, neobični API pozivi, promjene postavki ili sistemskih datoteka, niti skokovi opterećenja tipični za masovno izdvajanje podataka. Analiza integriteta aports repozitorija, paketa i datoteka izdanja, kao i njihova provjera u odnosu na kopije sa eksternih servera za izgradnju i razvojnih sistema, nije otkrila skrivene promjene.
Nedostatak informacija o odlaznim mrežnim vezama, brisanje nekih logova tokom rotacije (na primjer, cron logo) i nedostatak adekvatnih detalja u logovima web servera (uspješna upotreba exploita koja ne rezultira rušenjem sistema ne odražava se u logovu) onemogućavaju potpuno isključivanje uspješnog napada.
Ako bi napad bio uspješan, napadači bi mogli dobiti pristup bazi podataka koja sadrži podatke o svim GitLab korisnicima (hash-evi lozinki, e-mail, IP adrese itd.), varijable okruženja i tokeni iz sistema kontinuirane integracije, kodovi za dvofaktorsku autentifikaciju, heševi ličnih tokena za pristup, sadržaj privatnih repozitorija i povjerljive diskusije o problemima. Ključevi za generiranje digitalnih potpisa za izdanja i pakete na napadnutom serveru. server nisu bili pohranjeni.
Prvi pokušaji iskorištavanja ranjivosti zabilježeni su 20. i 21. oktobra. Napadač je registrovao GitLab račun i pokušao poslati izmijenjene postavke sistemu za kontinuiranu integraciju. Zapisnici su zabilježili osam rušenja GitLab procesa, od kojih su četiri bila povezana s ranjivošću. Prva faza ranjivosti bila je uspješna, ali druga faza nije uspjela.
U trenutku napada, kontejner je koristio ranjivu verziju GitLaba 19.3.4, koja je ažurirana na GitLab 19.3.6 22. oktobra. Međutim, Alpine administratori nisu uzeli u obzir da je ispravka uključena samo u službene instalacijske pakete GitLaba 19.3.6, a ne u sam GitLab kod, budući da je ranjivost prisutna u Ruby alatima. Kontejner je nastavio koristiti stariji Ruby alate, a ranjivost je ostala neispravljena.
Preostala ranjivost otkrivena je tek 26. oktobra. Analiza logova otkrila je da su napadači nastavili napade 25. i 26. oktobra. Pristup trećih strana GitLabu je 27. oktobra ograničen. 28. oktobra sadržaj je obnovljen, sve lozinke su resetirane (korisnici su morali postaviti novu lozinku putem procedure za oporavak zaboravljene lozinke) i ključevi za pristup su zamijenjeni. 29. oktobra ažurirana... server je pušten u rad. Docker kontejner alpinelinux/gitlab, koji je održavao projekat, ostao je ranjiv do 27. oktobra.
izvor: opennet.ru
