Gipasidan-an sa GitLab ang mga tiggamit bahin sa pagdugang sa makadaot nga kalihokan nga may kalabotan sa pagpahimulos sa kritikal nga pagkahuyang nga CVE-2021-22205, nga nagtugot kanila sa layo nga pagpatuman sa ilang code nga walaβy pagkumpirma sa usa ka server nga naggamit sa GitLab collaborative development platform.
Ang isyu naa na sa GitLab sukad sa bersyon 11.9 ug giayo kaniadtong Abril sa GitLab nga gipagawas ang 13.10.3, 13.9.6, ug 13.8.8. Bisan pa, kung hukman sa Oktubre 31 nga pag-scan sa usa ka global nga network sa 60 nga magamit sa publiko nga mga higayon sa GitLab, 50% sa mga sistema nagpadayon sa paggamit sa mga karaan nga bersyon sa GitLab nga dali nga madala sa mga kahuyangan. Ang gikinahanglan nga mga pag-update gi-install sa 21% lamang sa mga server nga gisulayan, ug sa 29% sa mga sistema dili posible nga mahibal-an ang numero sa bersyon nga gigamit.
Ang walay pagtagad nga kinaiya sa mga tigdumala sa server sa GitLab sa pag-instalar sa mga update misangpot sa kamatuoran nga ang kahuyang nagsugod nga aktibong gipahimuslan sa mga tig-atake, nga nagsugod sa pagbutang sa malware sa mga server ug pagkonektar kanila sa buhat sa usa ka botnet nga miapil sa mga pag-atake sa DDoS. Sa kinapungkayan niini, ang gidaghanon sa trapiko sa panahon sa pag-atake sa DDoS nga namugna sa usa ka botnet nga gibase sa mga mahuyang nga GitLab nga mga server miabot sa 1 ka terabit kada segundo.
Ang pagkahuyang tungod sa dili husto nga pagproseso sa mga na-download nga file sa imahe pinaagi sa usa ka eksternal nga parser base sa ExifTool library. Usa ka kahuyang sa ExifTool (CVE-2021-22204) nagtugot sa arbitraryong mga sugo nga ipatuman sa sistema sa pag-parse sa metadata gikan sa mga file sa DjVu format: (metadata (Copyright "\ " . qx{echo test >/tmp/test} . \ "b"))
Dugang pa, tungod kay ang aktuwal nga format gitino sa ExifTool pinaagi sa MIME nga tipo sa sulod, ug dili ang extension sa file, ang tig-atake maka-download sa usa ka DjVu nga dokumento nga adunay pagpahimulos ubos sa takos sa usa ka regular nga JPG o TIFF nga imahe (Gitawag sa GitLab ang ExifTool alang sa tanang mga file nga adunay jpg, jpeg extension ug tiff aron malimpyohan ang dili kinahanglan nga mga tag). Usa ka pananglitan sa usa ka pagpahimulos. Sa default configuration sa GitLab CE, ang usa ka pag-atake mahimo pinaagi sa pagpadala sa duha ka mga hangyo nga wala magkinahanglan og authentication.
Girekomenda ang mga tiggamit sa GitLab aron masiguro nga gigamit nila ang karon nga bersyon ug, kung naggamit sila usa ka karaan nga pagpagawas, i-install dayon ang mga update, ug kung sa pipila ka hinungdan dili kini mahimo, pilion nga mag-apply sa usa ka patch nga nagbabag sa pagkahuyang. Gitambagan usab ang mga tiggamit sa mga sistema nga wala ma-patch nga sigurohon nga ang ilang sistema dili makompromiso pinaagi sa pag-analisar sa mga log ug pagsusi sa mga kadudahang account sa pag-atake (pananglitan, dexbcx, dexbcx818, dexbcxh, dexbcxi ug dexbcxa99).
Source: opennet.ru