GitLab ha avvisato gli utenti di un aumento dell'attività degli hacker legata all'esploitazione di una vulnerabilità critica CVE-2021-22205, che consente di eseguire il proprio codice sul server che utilizza la piattaforma per la collaborazione nello sviluppo GitLab senza autenticazione.
Il problema si manifesta in GitLab a partire dalla versione 11.9 ed è stato risolto già ad aprile nelle versioni GitLab 13.10.3, 13.9.6 e 13.8.8. Tuttavia, secondo una scansione effettuata il 31 ottobre su 60.000 istanze pubblicamente accessibili di GitLab, il 50% dei sistemi continua a utilizzare versioni obsolete di GitLab vulnerabili. Solo il 21% delle istanze esaminate ha ricevuto gli aggiornamenti necessari. server, mentre il numero di versione utilizzato non è stato possibile determinarlo nel 29% dei sistemi.
La negligenza degli amministratori dei server GitLab nell'installazione degli aggiornamenti ha portato all'attiva sfruttamento della vulnerabilità da parte di hacker, che hanno iniziato a pubblicare su server malware e collegarli all'operazione di un botnet che partecipa a attacchi DDoS. Durante il picco, il volume di traffico generato dal botnet basato su server vulnerabili GitLab durante un attacco DDoS ha raggiunto i 1 terabit al secondo.
La vulnerabilità è causata da una gestione errata dei file caricati con immagini da un parser esterno basato sulla libreria ExifTool. La vulnerabilità in ExifTool (CVE-2021-22204) consentiva l'esecuzione di comandi arbitrari nel sistema durante l'analisi dei metadati dai file in formato DjVu: (metadata (Copyright «\ » . qx{echo test >/tmp/test} . \ » b «))
Inoltre, poiché il formato effettivo veniva determinato in ExifTool dal tipo MIME del contenuto e non dall'estensione del file, l'attaccante poteva caricare un documento DjVu con un exploit spacciato per una normale immagine JPG o TIFF (GitLab chiama ExifTool per tutti i file con estensioni jpg, jpeg e tiff per rimuovere i tag superflui). Esempio di exploit. Nella configurazione di GitLab CE, per impostazione predefinita, l'attacco può essere condotto inviando due richieste che non richiedono l'autenticazione.
Si raccomanda agli utenti di GitLab di assicurarsi di utilizzare la versione più recente e, in caso di utilizzo di una versione obsoleta, di applicare urgentemente gli aggiornamenti. Se ciò non fosse possibile per qualche motivo, si consiglia di applicare selettivamente una patch che impedisca l'emergere della vulnerabilità. Gli utenti dei sistemi non aggiornati sono anche invitati a verificare che il loro sistema non sia stato compromesso, analizzando i log e controllando la presenza di account sospetti degli aggressori (ad esempio, dexbcx, dexbcx818, dexbcxh, dexbcxi e dexbcxa99).
Fonte: opennet.ru
