נקודות תורפה ב-GitLab המאפשרות חטיפת חשבון וביצוע פקודות תחת משתמש אחר

פורסמו עדכונים מתקנים לפלטפורמה לארגון פיתוח שיתופי - GitLab 16.7.2, 16.6.4 ו-16.5.6, המתקנים שתי נקודות תורפה קריטיות. הפגיעות הראשונה (CVE-2023-7028), לה מוקצית רמת החומרה המרבית (10 מתוך 10), מאפשרת לך לתפוס חשבון של מישהו אחר באמצעות מניפולציה של טופס שחזור הסיסמה שנשכחה. הפגיעות נגרמת מהאפשרות לשלוח מייל עם קוד איפוס סיסמה לכתובות דוא"ל לא מאומתות. הבעיה מופיעה מאז יציאת GitLab 16.1.0, שהציגה את היכולת לשלוח קוד שחזור סיסמה לכתובת אימייל לא מאומתת לגיבוי.

כדי לבדוק את העובדות של פגיעה במערכות, מוצע להעריך ביומן gitlab-rails/production_json.log את נוכחותן של בקשות HTTP למטפל /users/password המציין מערך של מספר מיילים ב-params.value.email " פרמטר. כמו כן, מומלץ לבדוק אם יש ערכים ביומן gitlab-rails/audit_json.log עם הערך PasswordsController#create ב-meta.caller.id ומציין מערך של מספר כתובות בבלוק target_details. לא ניתן להשלים את ההתקפה אם המשתמש מאפשר אימות דו-גורמי.

הפגיעות השנייה, CVE-2023-5356, קיימת בקוד לאינטגרציה עם שירותי Slack ו-Mattermost, ומאפשרת לך לבצע /-פקודות תחת משתמש אחר עקב היעדר בדיקת הרשאות מתאימה. לבעיה נקבעה רמת חומרה של 9.6 מתוך 10. הגרסאות החדשות גם מבטלות פגיעות פחות מסוכנת (7.6 מתוך 10) (CVE-2023-4812), המאפשרת לך לעקוף את אישור CODEOWNERS על ידי הוספת שינויים לפגיעות שאושרו בעבר בקשת מיזוג.

מידע מפורט על נקודות התורפה שזוהו מתוכנן להיחשף 30 יום לאחר פרסום התיקון. הפגיעויות הוגשו ל-GitLab כחלק מתוכנית הפגיעות של HackerOne.

מקור: OpenNet.ru