DDoS 공격에 참여하기 위해 취약한 GitLab 서버 제어권 탈취

GitLab은 GitLab 공동 개발 플랫폼을 사용하는 서버에서 인증 없이 원격으로 코드를 실행할 수 있는 심각한 취약점 CVE-2021-22205 악용과 관련된 악의적인 활동이 증가하고 있다고 사용자에게 경고했습니다.

이 문제는 GitLab 버전 11.9부터 존재했으며 지난 13.10.3월 GitLab 릴리스 13.9.6, 13.8.8 및 31에서 수정되었습니다. 그러나 공개적으로 사용 가능한 60개의 GitLab 인스턴스로 구성된 글로벌 네트워크를 50월 21일 스캔한 결과, 시스템의 29%가 취약성에 취약한 오래된 버전의 GitLab을 계속 사용하고 있는 것으로 나타났습니다. 필수 업데이트는 테스트된 서버 중 XNUMX%에만 설치되었으며, XNUMX%의 시스템에서는 사용 중인 버전 번호를 확인할 수 없었습니다.

업데이트 설치에 대한 GitLab 서버 관리자의 부주의한 태도로 인해 서버에 악성 코드를 배치하고 DDoS 공격에 참여하는 봇넷 작업에 연결하기 시작한 공격자가 취약점을 적극적으로 악용하기 시작했습니다. 취약한 GitLab 서버를 기반으로 한 봇넷에 의해 생성된 DDoS 공격 중 트래픽 양이 최고조에 달했을 때 초당 1테라비트에 이르렀습니다.

이 취약점은 ExifTool 라이브러리 기반의 외부 파서가 다운로드한 이미지 파일을 잘못 처리하여 발생합니다. ExifTool(CVE-2021-22204)의 취약점으로 인해 DjVu 형식의 파일에서 메타데이터를 구문 분석할 때 시스템에서 임의의 명령이 실행될 수 있습니다: (metadata (Copyright "\ " . qx{echo test >/tmp/test} . \ "b") )

더욱이 실제 형식은 파일 확장자가 아닌 MIME 콘텐츠 유형에 따라 ExifTool에서 결정되므로 공격자는 일반 JPG 또는 TIFF 이미지를 가장하여 익스플로잇을 사용하여 DjVu 문서를 다운로드할 수 있습니다(GitLab은 다음과 같은 모든 파일에 대해 ExifTool을 호출합니다). 불필요한 태그를 정리하기 위한 jpg, jpeg 확장자 및 tiff). 익스플로잇의 예. GitLab CE의 기본 구성에서는 인증이 필요하지 않은 두 가지 요청을 보내 공격을 수행할 수 있습니다.

GitLab 사용자는 최신 버전을 사용하고 있는지 확인하고, 오래된 릴리스를 사용하는 경우 즉시 업데이트를 설치하고, 어떤 이유로든 이것이 가능하지 않은 경우 취약성을 차단하는 패치를 선택적으로 적용하는 것이 좋습니다. 패치가 적용되지 않은 시스템 사용자는 로그를 분석하고 의심스러운 공격자 계정(예: dexbcx, dexbcx818, dexbcxh, dexbcxi 및 dexbcxa99)을 확인하여 시스템이 손상되지 않았는지 확인하는 것이 좋습니다.

출처 : opennet.ru