השתלטות על שרתי GitLab פגיעים כדי לעסוק בהתקפות DDoS

GitLab הזהירה את המשתמשים מפני עלייה בפעילות זדונית הקשורה לניצול הפגיעות הקריטית CVE-2021-22205, המאפשרת להם לבצע מרחוק את הקוד שלהם ללא אימות בשרת המשתמש בפלטפורמת הפיתוח השיתופית GitLab.

הבעיה קיימת ב- GitLab מאז גרסה 11.9 ותוקנה עוד באפריל במהדורות GitLab 13.10.3, 13.9.6 ו- 13.8.8. עם זאת, אם לשפוט לפי סריקה ב-31 באוקטובר של רשת גלובלית של 60 מופעי GitLab הזמינים לציבור, 50% מהמערכות ממשיכות להשתמש בגרסאות מיושנות של GitLab הרגישות לפגיעויות. העדכונים הנדרשים הותקנו רק ב-21% מהשרתים שנבדקו, וב-29% מהמערכות לא ניתן היה לקבוע את מספר הגרסה בשימוש.

היחס הרשלני של מנהלי שרתים של GitLab להתקנת עדכונים הוביל לעובדה שהחולה החלה לנצל את הפגיעות באופן אקטיבי על ידי תוקפים, שהחלו להציב תוכנות זדוניות על השרתים ולחבר אותן לעבודה של רשת בוט המשתתפת בהתקפות DDoS. בשיאה, נפח התעבורה במהלך מתקפת DDoS שנוצרה על ידי רשת בוט המבוססת על שרתי GitLab פגיעים הגיע ל-1 טרה-ביט לשנייה.

הפגיעות נגרמת מעיבוד לא נכון של קבצי תמונה שהורדת על ידי מנתח חיצוני המבוסס על ספריית ExifTool. פגיעות ב-ExifTool (CVE-2021-22204) אפשרה ביצוע פקודות שרירותיות במערכת בעת ניתוח מטא נתונים מקבצים בפורמט DjVu: (מטא נתונים (זכויות יוצרים "\ " . qx{echo test >/tmp/test} . \ "ב"))

יתרה מכך, מכיוון שהפורמט בפועל נקבע ב-ExifTool לפי סוג התוכן MIME, ולא סיומת הקובץ, התוקף יכול להוריד מסמך DjVu עם ניצול במסווה של תמונת JPG או TIFF רגילה (GitLab קורא ל-ExifTool עבור כל הקבצים עם הרחבות jpg, jpeg ו-tiff כדי לנקות תגים מיותרים). דוגמה לניצול. בתצורת ברירת המחדל של GitLab CE, ניתן לבצע תקיפה על ידי שליחת שתי בקשות שאינן דורשות אימות.

למשתמשי GitLab מומלץ לוודא שהם משתמשים בגרסה הנוכחית, ואם הם משתמשים במהדורה מיושנת, להתקין עדכונים מיידית, ואם מסיבה כלשהי זה לא אפשרי, להחיל באופן סלקטיבי תיקון שחוסם את הפגיעות. למשתמשים של מערכות לא מתוקנות מומלץ גם לוודא שהמערכת שלהם לא תיפגע על ידי ניתוח היומנים ובדיקת חשבונות תוקפים חשודים (לדוגמה, dexbcx, dexbcx818, dexbcxh, dexbcxi ו-dexbcxa99).

מקור: OpenNet.ru