GitLab ha avvertito gli utenti di un aumento dell'attività degli aggressori, legata all'exploitation di una vulnerabilità critica CVE-2021-22205, che consente di eseguire codice remoto sul server, dove viene utilizzata la piattaforma per la collaborazione nello sviluppo GitLab, senza necessità di autenticazione.
Il problema si manifesta in GitLab a partire dalla versione 11.9 ed è stato risolto già ad aprile con i rilasci di GitLab 13.10.3, 13.9.6 e 13.8.8. Tuttavia, secondo la scansione condotta il 31 ottobre su una rete globale di 60.000 istanze GitLab pubblicamente accessibili, il 50% dei sistemi continua a utilizzare versioni obsolete di GitLab, vulnerabili. Gli aggiornamenti necessari sono stati installati solo sul 21% di quelli controllati. server, mentre sul 29% dei sistemi non è stato possibile determinare il numero della versione utilizzata.
La negligenza degli amministratori dei server con GitLab nell'installare aggiornamenti ha portato al fatto che la vulnerabilità ha cominciato ad essere sfruttata attivamente dagli aggressori, che hanno iniziato a pubblicare malware e collegarli al funzionamento di un botnet, partecipando a attacchi DDoS. server Nel picco, il volume di traffico durante l'attacco DDoS, generato dal botnet sulla base di server GitLab vulnerabili, ha raggiunto fino a 1 terabit al secondo.
La vulnerabilità è causata da un trattamento errato dei file caricati contenenti immagini da parte di un parser esterno basato sulla libreria ExifTool. La vulnerabilità in ExifTool (CVE-2021-22204) consentiva l'esecuzione di comandi arbitrari nel sistema durante l'analisi dei metadati da file nel formato DjVu: (metadata (Copyright «\ » . qx{echo test > /tmp/test} . \ » b «) )
Poiché il formato effettivo era determinato in ExifTool dal tipo MIME del contenuto e non dall'estensione del file, l'attaccante poteva caricare un documento DjVu con un exploit sotto forma di una normale immagine JPG o TIFF (GitLab chiama ExifTool per tutti i file con estensioni jpg, jpeg e tiff per rimuovere i tag non necessari). Esempio di exploit. Nella configurazione predefinita di GitLab CE, l'attacco può essere condotto tramite l'invio di due richieste, che non richiedono autenticazione.
Si consiglia agli utenti di GitLab di assicurarsi di utilizzare l'ultima versione disponibile e, se utilizzano una versione obsoleta, di installare urgentemente aggiornamenti o, se per qualche motivo ciò non fosse possibile, di applicare selettivamente una patch per bloccare l'esploit della vulnerabilità. Gli utenti dei sistemi obsoleti sono inoltre invitati a verificare che il loro sistema non sia compromesso, analizzando i log e controllando la presenza di account sospetti degli aggressori (ad esempio, dexbcx, dexbcx818, dexbcxh, dexbcxi e dexbcxa99).
Fonte: opennet.ru
