Das Unternehmen GitLab hat die Nutzer vor einer erhöhten Aktivität von Angreifern gewarnt, die mit der Ausnutzung der kritischen Sicherheitsanfälligkeit CVE-2021-22205 in Verbindung steht, die es ermöglicht, ohne Authentifizierung remote eigenen Code auf dem Server auszuführen, auf dem die Plattform für die gemeinsame Entwicklung GitLab genutzt wird.
Das Problem tritt in GitLab ab Version 11.9 auf und wurde bereits im April in den Versionen GitLab 13.10.3, 13.9.6 und 13.8.8 behoben. Dennoch zeigen die am 31. Oktober durchgeführten Scans im globalen Netzwerk, dass von 60.000 öffentlich zugänglichen Instanzen von GitLab weiterhin 50 % veraltete Versionen verwendet werden, die der Sicherheitsanfälligkeit ausgesetzt sind. Notwendige Updates sind nur auf 21 % der überprüften Systeme installiert. Server, während auf 29 % der Systeme die verwendete Versionsnummer nicht ermittelt werden konnte.
Die Nachlässigkeit der Server-Administratoren von GitLab bezüglich der Installation von Updates hat dazu geführt, dass die Sicherheitsanfälligkeit aktiv von Angreifern ausgenutzt wird, die begonnen haben, auf Servern bösartige Software zuzugreifen und diese mit einem Botnetz zu verbinden, das an DDoS-Angriffen beteiligt ist. In der Spitze erreichte das Verkehrsvolumen während eines DDoS-Angriffs, der von dem Botnetz auf der Basis anfälliger GitLab-Server generiert wurde, bis zu 1 Terabit pro Sekunde.
Die Sicherheitsanfälligkeit wird durch die fehlerhafte Verarbeitung hochgeladener Bilddateien durch einen externen Parser auf Basis der Bibliothek ExifTool verursacht. Die Sicherheitsanfälligkeit in ExifTool (CVE-2021-22204) ermöglichte es, im System beliebige Befehle auszuführen, wenn Metadaten aus Dateien im DjVu-Format geparst wurden: (metadata (Copyright «\ » . qx{echo test > /tmp/test} . \ » b «) )
Da das tatsächliche Format in ExifTool anhand des MIME-Typs des Inhalts und nicht der Dateiendung bestimmt wurde, konnte ein Angreifer ein DjVu-Dokument mit einem Exploit als gewöhnliches JPG- oder TIFF-Bild hochladen (GitLab ruft ExifTool für alle Dateien mit den Erweiterungen jpg, jpeg und tiff auf, um überflüssige Tags zu bereinigen). Beispiel für einen Exploit. In der Standardkonfiguration von GitLab CE kann der Angriff durch das Senden von zwei Authentifizierungs-freien Anfragen durchgeführt werden.
GitLab-Nutzern wird geraten, sicherzustellen, dass sie die aktuelle Version verwenden, und im Falle der Nutzung einer veralteten Version dringend Updates zu installieren. Wenn dies aus irgendeinem Grund nicht möglich ist, sollte selektiv ein Patch angewendet werden, der das Auftreten der Schwachstelle blockiert. Nutzern von nicht aktualisierten Systemen wird ebenfalls geraten, sicherzustellen, dass ihr System nicht kompromittiert ist, indem sie die Protokolle analysieren und nach verdächtigen Angreiferkonten (z. B. dexbcx, dexbcx818, dexbcxh, dexbcxi und dexbcxa99) suchen.
Quelle: opennet.ru
