Das Unternehmen GitLab hat die Nutzer vor einer zunehmenden Aktivität von Angreifern gewarnt, die mit der Ausnutzung der kritischen Sicherheitsanfälligkeit CVE-2021-22205 verbunden ist. Diese ermöglicht es, ohne Authentifizierung Code remote auf dem Server, der die Plattform für die gemeinsame Entwicklung GitLab verwendet, auszuführen.
Das Problem tritt in GitLab ab Version 11.9 auf und wurde bereits im April in den Versionen GitLab 13.10.3, 13.9.6 und 13.8.8 behoben. Dennoch zeigen die Ergebnisse einer globalen Netzwerkscanning am 31. Oktober, dass 50 % der Systeme weiterhin veraltete GitLab-Versionen verwenden, die anfällig für diese Sicherheitsanfälligkeit sind. Die erforderlichen Updates wurden nur auf 21 % der kontrollierten Systeme installiert, Serverwährend bei 29 % der Systeme die verwendete Versionsnummer nicht ermittelt werden konnte.
Die nachlässige Handhabung der Serveradministratoren bei GitLab in Bezug auf die Installation von Updates hat dazu geführt, dass die Sicherheitsanfälligkeit aktiv von Angreifern ausgenutzt wird, die begonnen haben, auf Servern Schadhafter Code kann genutzt werden, um Botnetze zu aktivieren, die an DDoS-Attacken beteiligt sind. Während des Höhepunkts der DDoS-Attacke, die von einem Botnetz aus verwundbaren GitLab-Servern generiert wurde, erreichte das Verkehrsvolumen bis zu 1 Terabit pro Sekunde.
Die Schwachstelle entsteht durch die fehlerhafte Verarbeitung von hochgeladenen Bilddateien durch einen externen Parser, der auf der ExifTool-Bibliothek basiert. Die Schwachstelle in ExifTool (CVE-2021-22204) ermöglichte die Ausführung beliebiger Befehle im System bei der Analyse von Metadaten aus DjVu-Dateien: (metadata (Copyright «\ » . qx{echo test >/tmp/test} . \ » b «) )
Da das tatsächliche Format durch ExifTool basierend auf dem MIME-Typ des Inhalts und nicht durch die Dateierweiterung bestimmt wurde, konnte ein Angreifer ein DjVu-Dokument mit einem Exploit unter dem Deckmantel eines normalen JPG- oder TIFF-Bildes hochladen (GitLab ruft ExifTool für alle Dateien mit den Erweiterungen jpg, jpeg und tiff auf, um unnötige Tags zu bereinigen). Beispiel für einen Exploit. In der Standardkonfiguration von GitLab CE kann der Angriff durch das Senden von zwei Anfragen durchgeführt werden, die keine Authentifizierung erfordern.
GitLab-Nutzern wird empfohlen, sicherzustellen, dass sie die neueste Version verwenden. Falls eine veraltete Version eingesetzt wird, sollten umgehend Updates installiert oder, falls das aus irgendwelchen Gründen nicht möglich ist, selektiv Patches angewendet werden, die das Auftreten der Vulnerabilität blockieren. Nutzern von nicht aktualisierten Systemen wird ebenfalls geraten, sicherzustellen, dass ihr System nicht kompromittiert ist, indem sie die Protokolle analysieren und nach verdächtigen Konten von Angreifern suchen, wie zum Beispiel dexbcx, dexbcx818, dexbcxh, dexbcxi und dexbcxa99.
Quelle: opennet.ru
