Οι προγραμματιστές της διανομής Alpine Linux Αποκάλυψαν πληροφορίες σχετικά με απόπειρες παραβίασης της πλατφόρμας συνεργατικής ανάπτυξης gitlab.alpinelinux.org, όπου διεξήχθησαν εργασίες στον διαχειριστή πακέτων APK, στα εργαλεία δημιουργίας, στα στοιχεία υποδομής και στα σενάρια δημιουργίας πακέτων (aports). Η επίθεση πραγματοποιήθηκε με την εκμετάλλευση μιας ευπάθειας στην πλατφόρμα GitLab που προκλήθηκε από υπερχείλιση ακεραίων στη μηχανή κανονικών εκφράσεων Ruby. Δεν βρέθηκαν στοιχεία ή ίχνη επιτυχημένης παραβίασης, αλλά επειδή είναι αδύνατο να αποκλειστεί εντελώς η επιτυχής εκμετάλλευση της ευπάθειας, το κοντέινερ GitLab θεωρήθηκε δυνητικά παραβιασμένο και το περιεχόμενό του ανακατασκευάστηκε πλήρως από την αρχή και ξεκίνησε μια διαδικασία επαναφοράς κωδικού πρόσβασης για τους χρήστες.
Διαχειριστές Υποδομών των Άλπεων Linux Δεν εντοπίστηκαν αρχεία τρίτων, ύποπτες διεργασίες που εκτελούνται, ασυνήθιστες κλήσεις API, αλλαγές σε ρυθμίσεις ή αρχεία συστήματος ή αιχμές φόρτωσης που είναι τυπικές για μαζική εξαγωγή δεδομένων. Μια ανάλυση της ακεραιότητας του αποθετηρίου aports, των πακέτων και των αρχείων έκδοσης, καθώς και η επαλήθευσή τους σε σχέση με αντίγραφα από εξωτερικούς διακομιστές έκδοσης και συστήματα προγραμματιστών, δεν αποκάλυψε κρυφές αλλαγές.
Η έλλειψη πληροφοριών σχετικά με τις εξερχόμενες συνδέσεις δικτύου, η διαγραφή ορισμένων αρχείων καταγραφής κατά την εναλλαγή (για παράδειγμα, το αρχείο καταγραφής cron) και η έλλειψη επαρκών λεπτομερειών στα αρχεία καταγραφής του διακομιστή ιστού (η επιτυχής χρήση ενός exploit που δεν οδηγεί σε σφάλμα δεν αντικατοπτρίζεται στο αρχείο καταγραφής) καθιστούν αδύνατο να αποκλειστεί εντελώς μια επιτυχημένη επίθεση.
Εάν η επίθεση ήταν επιτυχής, οι επιτιθέμενοι θα μπορούσαν να αποκτήσουν πρόσβαση στη βάση δεδομένων που περιέχει δεδομένα για όλους τους χρήστες του GitLab (κατακερματισμούς κωδικών πρόσβασης, email, διευθύνσεις IP κ.λπ.), μεταβλητές περιβάλλοντος και διακριτικά από συστήματα συνεχούς ολοκλήρωσης, κωδικούς ελέγχου ταυτότητας δύο παραγόντων, κατακερματισμούς προσωπικών διακριτικών πρόσβασης, το περιεχόμενο ιδιωτικών αποθετηρίων και εμπιστευτικές συζητήσεις θεμάτων. Κλειδιά για τη δημιουργία ψηφιακών υπογραφών για εκδόσεις και πακέτα στον διακομιστή που δέχτηκε την επίθεση. υπηρέτης δεν αποθηκεύτηκαν.
Οι πρώτες προσπάθειες εκμετάλλευσης της ευπάθειας καταγράφηκαν στις 20 και 21 Οκτωβρίου. Ο εισβολέας κατέγραψε έναν λογαριασμό GitLab και προσπάθησε να στείλει τροποποιημένες ρυθμίσεις στο σύστημα συνεχούς ολοκλήρωσης. Τα αρχεία καταγραφής κατέγραψαν οκτώ σφάλματα διεργασίας GitLab, τέσσερα από τα οποία σχετίζονταν με την εκμετάλλευση. Η πρώτη φάση της εκμετάλλευσης ήταν επιτυχής, αλλά το δεύτερο στάδιο απέτυχε.
Τη στιγμή της επίθεσης, το κοντέινερ έτρεχε μια ευάλωτη έκδοση του GitLab 19.3.4, η οποία ενημερώθηκε σε GitLab 19.3.6 στις 22 Οκτωβρίου. Ωστόσο, οι διαχειριστές της Alpine δεν έλαβαν υπόψη ότι η επιδιόρθωση περιλαμβανόταν μόνο στα επίσημα πακέτα εγκατάστασης του GitLab 19.3.6, όχι στον ίδιο τον κώδικα του GitLab, καθώς η ευπάθεια υπάρχει στην αλυσίδα εργαλείων Ruby. Το κοντέινερ συνέχισε να χρησιμοποιεί την παλαιότερη αλυσίδα εργαλείων Ruby και η ευπάθεια παρέμεινε χωρίς ενημέρωση κώδικα.
Η υπόλοιπη ευπάθεια ανακαλύφθηκε μόλις στις 26 Οκτωβρίου. Η ανάλυση των αρχείων καταγραφής αποκάλυψε ότι οι εισβολείς συνέχισαν τις επιθέσεις τους στις 25 και 26 Οκτωβρίου. Στις 27 Οκτωβρίου, η πρόσβαση τρίτων στο GitLab περιορίστηκε. Στις 28 Οκτωβρίου, το περιεχόμενο ανακατασκευάστηκε, όλοι οι κωδικοί πρόσβασης επαναφέρθηκαν (οι χρήστες έπρεπε να ορίσουν νέο κωδικό πρόσβασης μέσω της διαδικασίας ανάκτησης ξεχασμένου κωδικού πρόσβασης) και τα κλειδιά πρόσβασης αντικαταστάθηκαν. Στις 29 Οκτωβρίου, μια ενημερωμένη έκδοση... διακομιστή τέθηκε σε λειτουργία. Το κοντέινερ Docker alpinelinux/gitlab, το οποίο συντηρείται από το έργο, παρέμεινε ευάλωτο μέχρι τις 27 Οκτωβρίου.
Πηγή: opennet.ru
