Alpine 프로젝트 GitLab 서버 공격 발생 Linux

알파인 유통 개발자 Linux 그들은 APK 패키지 관리자, 빌드 도구, 인프라 구성 요소 및 패키지 빌드 스크립트(aport) 작업이 이루어지는 협업 개발 플랫폼인 gitlab.alpinelinux.org에 대한 해킹 시도에 관한 정보를 공개했습니다. 이 공격은 Ruby 정규 표현식 엔진의 정수 오버플로로 인해 발생하는 GitLab 플랫폼의 취약점을 악용하여 이루어졌습니다. 해킹 성공의 증거나 흔적은 발견되지 않았지만, 취약점 악용 가능성을 완전히 배제할 수 없으므로 GitLab 컨테이너가 잠재적으로 손상된 것으로 간주되어 컨테이너의 모든 내용을 처음부터 다시 구축하고 사용자들을 위한 비밀번호 재설정 절차를 시작했습니다.

알파인 인프라 관리자 Linux 타사 파일, 의심스러운 실행 프로세스, 비정상적인 API 호출, 설정 또는 시스템 파일 변경, 대량 데이터 추출에서 흔히 발생하는 부하 급증 등은 감지되지 않았습니다. aports 저장소, 패키지 및 릴리스 파일의 무결성 분석과 외부 빌드 서버 및 개발자 시스템의 사본과의 대조 검증 결과, 숨겨진 변경 사항은 발견되지 않았습니다.

나가는 네트워크 연결에 대한 정보 부족, 로그 순환 과정에서 일부 로그 삭제(예: cron 로그), 웹 서버 로그의 상세 정보 부족(크래시를 발생시키지 않는 익스플로잇의 성공적인 사용은 로그에 반영되지 않음)으로 인해 공격 성공 가능성을 완전히 배제할 수는 없습니다.
공격이 성공하면 공격자는 모든 GitLab 사용자에 대한 데이터(비밀번호 해시, 이메일 등)가 포함된 데이터베이스에 접근할 수 있습니다. IP 주소 환경 변수 및 지속적 통합 시스템의 토큰, 2단계 인증 코드, 개인 액세스 토큰의 해시값, 개인 저장소 내용, 기밀 논의 내용 등. 공격 대상 서버에서 릴리스 및 패키지에 대한 디지털 서명을 생성하는 데 사용되는 키. 섬기는 사람 저장되지 않았습니다.

해당 취약점을 악용하려는 첫 번째 시도는 10월 20일과 21일에 기록되었습니다. 공격자는 GitLab 계정을 등록하고 수정된 설정을 지속적 통합 시스템으로 전송하려고 시도했습니다. 로그에는 GitLab 프로세스 충돌이 8건 기록되었으며, 그중 4건은 해당 취약점 악용과 관련이 있었습니다. 공격의 1단계는 성공했지만, 2단계는 실패했습니다.

공격 당시 컨테이너는 취약한 버전의 GitLab 19.3.4를 실행 중이었으며, 10월 22일에 GitLab 19.3.6으로 업데이트되었습니다. 그러나 Alpine 관리자는 해당 수정 사항이 공식 GitLab 19.3.6 설치 패키지에만 포함되고 GitLab 코드 자체에는 포함되지 않았다는 점을 고려하지 못했습니다. 취약점은 Ruby 툴체인에 존재했기 때문입니다. 컨테이너는 계속해서 이전 버전의 Ruby 툴체인을 사용했고, 취약점은 패치되지 않은 채로 남아 있었습니다.

나머지 취약점은 10월 26일에야 발견되었습니다. 로그 분석 결과 공격자들은 10월 25일과 26일에 공격을 재개한 것으로 나타났습니다. 10월 27일에는 GitLab에 대한 제3자 접근이 제한되었습니다. 10월 28일에는 콘텐츠가 복구되고 모든 비밀번호가 재설정되었으며(사용자는 비밀번호 찾기 절차를 통해 새 비밀번호를 설정해야 함), 접근 키가 교체되었습니다. 10월 29일에는 업데이트된 내용이 게시되었습니다. 서버 해당 프로젝트에서 관리하는 Docker 컨테이너 alpinelinux/gitlab은 10월 27일까지 취약한 상태였습니다.

출처 : opennet.ru