שרת GitLab של פרויקט Alpine הותקף Linux

מפתחי הפצת Alpine Linux הם חשפו מידע על ניסיונות לפרוץ לפלטפורמת הפיתוח השיתופית gitlab.alpinelinux.org, שם בוצעה עבודה על מנהל החבילות של APK, כלי בנייה, רכיבי תשתית ותסריטי בניית חבילות (aports). ההתקפה בוצעה על ידי ניצול פגיעות בפלטפורמת GitLab שנגרמה עקב גלישת מספרים שלמים במנוע הביטוי הרגולרי של Ruby. לא נמצאו ראיות או עקבות לפריצה מוצלחת, אך מכיוון שלא ניתן לשלול לחלוטין ניצול מוצלח של הפגיעות, המכולה של GitLab נחשבה כפגועה ותכולתה נבנתה מחדש לחלוטין מאפס, ונפתח הליך איפוס סיסמה עבור המשתמשים.

מנהלי תשתיות אלפיניות Linux לא זוהו קבצים של צד שלישי, תהליכים חשודים הפועלים, קריאות API חריגות, שינויים בהגדרות או בקבצי מערכת, או קפיצות עומס אופייניות לחילוץ נתונים המוני. ניתוח שלמות מאגר aports, החבילות וקבצי הגרסה, כמו גם אימותם מול עותקים משרתי בנייה חיצוניים ומערכות מפתחים, לא גילה שינויים נסתרים.

היעדר מידע על חיבורי רשת יוצאים, מחיקת יומני רישום מסוימים במהלך הסיבוב (לדוגמה, יומן cron), וחוסר פירוט מספק ביומני שרת האינטרנט (שימוש מוצלח בניצול שאינו גורם לקריסה אינו משתקף ביומן) הופכים את זה לבלתי אפשרי לשלול לחלוטין התקפה מוצלחת.
אם ההתקפה תצליח, התוקפים יוכלו לקבל גישה למסד הנתונים המכיל נתונים על כל משתמשי GitLab (קוד גיבוב של סיסמאות, דוא"ל, כתובות IP וכו'), משתני סביבה וטוקנים ממערכות אינטגרציה רציפה, קודי אימות דו-שלבי, גיבוב של טוקנים אישיים, תוכן של מאגרים פרטיים ודיונים סודיים בנושאים. מפתחות ליצירת חתימות דיגיטליות עבור מהדורות וחבילות בשרת המותקף. שרת לא נשמרו.

הניסיונות הראשונים לנצל את הפגיעות תועדו ב-20 וב-21 באוקטובר. התוקף רשם חשבון GitLab וניסה לשלוח הגדרות שונות למערכת האינטגרציה הרציפה. היומנים תיעדו שמונה קריסות של תהליכי GitLab, ארבע מהן היו קשורות לניצול. השלב הראשון של הניצול הצליח, אך השלב השני נכשל.

בזמן ההתקפה, המכולה הפעילה גרסה פגיעה של GitLab 19.3.4, אשר עודכנה ל-GitLab 19.3.6 ב-22 באוקטובר. עם זאת, מנהלי Alpine לא הביאו בחשבון שהתיקון נכלל רק בחבילות ההתקנה הרשמיות של GitLab 19.3.6, ולא בקוד GitLab עצמו, מכיוון שהפגיעות קיימת בשרשרת הכלים של Ruby. המכולה המשיכה להשתמש בשרשרת הכלים הישנה של Ruby, והפגיעות נותרה ללא תיקון.

הפגיעות שנותרה התגלתה רק ב-26 באוקטובר. ניתוח יומני הרישום גילה שהתוקפים חידשו את התקפותיהם ב-25 וב-26 באוקטובר. ב-27 באוקטובר הוגבלה גישת צד שלישי ל-GitLab. ב-28 באוקטובר נבנה מחדש התוכן, כל הסיסמאות אופסו (המשתמשים נדרשו להגדיר סיסמה חדשה באמצעות הליך שחזור סיסמה שנשכחה), ומפתחות גישה הוחלפו. ב-29 באוקטובר, עדכון... שרת הופעל. קונטיינר Docker alpinelinux/gitlab, אשר תוחזק על ידי הפרויקט, נותר פגיע עד 27 באוקטובר.

מקור: OpenNet.ru