ຍຶດການຄວບຄຸມເຄື່ອງແມ່ຂ່າຍ GitLab ທີ່ມີຄວາມສ່ຽງເພື່ອເຂົ້າຮ່ວມການໂຈມຕີ DDoS

GitLab ໄດ້ເຕືອນຜູ້ໃຊ້ກ່ຽວກັບການເພີ່ມຂື້ນຂອງກິດຈະກໍາທີ່ເປັນອັນຕະລາຍທີ່ກ່ຽວຂ້ອງກັບການຂູດຮີດຂອງຊ່ອງໂຫວ່ທີ່ສໍາຄັນ CVE-2021-22205, ເຊິ່ງອະນຸຍາດໃຫ້ພວກເຂົາປະຕິບັດລະຫັດຂອງພວກເຂົາຫ່າງໄກສອກຫຼີກໂດຍບໍ່ມີການພິສູດຢືນຢັນໃນເຄື່ອງແມ່ຂ່າຍທີ່ໃຊ້ແພລະຕະຟອມການພັດທະນາຮ່ວມມື GitLab.

ບັນຫາດັ່ງກ່າວມີຢູ່ໃນ GitLab ຕັ້ງແຕ່ຮຸ່ນ 11.9 ແລະຖືກແກ້ໄຂໃນເດືອນເມສາໃນ GitLab ລຸ້ນ 13.10.3, 13.9.6, ແລະ 13.8.8. ຢ່າງໃດກໍ່ຕາມ, ການຕັດສິນໂດຍການສະແກນໃນວັນທີ 31 ເດືອນຕຸລາຂອງເຄືອຂ່າຍທົ່ວໂລກຂອງ 60 ຕົວຢ່າງ GitLab ທີ່ມີສາທາລະນະ, 50% ຂອງລະບົບຍັງສືບຕໍ່ໃຊ້ GitLab ລຸ້ນລ້າສະໄຫມທີ່ມີຄວາມສ່ຽງຕໍ່ຄວາມອ່ອນແອ. ການປັບປຸງທີ່ຈໍາເປັນໄດ້ຖືກຕິດຕັ້ງຢູ່ໃນພຽງແຕ່ 21% ຂອງເຄື່ອງແມ່ຂ່າຍທີ່ທົດສອບ, ແລະໃນ 29% ຂອງລະບົບມັນບໍ່ສາມາດກໍານົດຈໍານວນຮຸ່ນທີ່ຖືກນໍາໃຊ້.

ທັດສະນະຄະຕິທີ່ບໍ່ສົນໃຈຂອງຜູ້ເບິ່ງແຍງເຊີບເວີ GitLab ໃນການຕິດຕັ້ງການປັບປຸງເຮັດໃຫ້ຄວາມຈິງທີ່ວ່າຊ່ອງໂຫວ່ເລີ່ມຖືກຂູດຮີດຢ່າງຈິງຈັງໂດຍຜູ້ໂຈມຕີ, ຜູ້ທີ່ເລີ່ມວາງ malware ໃນເຄື່ອງແມ່ຂ່າຍແລະເຊື່ອມຕໍ່ພວກເຂົາກັບການເຮັດວຽກຂອງ botnet ທີ່ເຂົ້າຮ່ວມໃນການໂຈມຕີ DDoS. ໃນຈຸດສູງສຸດຂອງມັນ, ປະລິມານການຈະລາຈອນໃນລະຫວ່າງການໂຈມຕີ DDoS ທີ່ສ້າງຂຶ້ນໂດຍ botnet ໂດຍອີງໃສ່ເຄື່ອງແມ່ຂ່າຍ GitLab ທີ່ມີຄວາມສ່ຽງໄດ້ບັນລຸ 1 terabits ຕໍ່ວິນາທີ.

ຊ່ອງໂຫວ່ແມ່ນເກີດມາຈາກການປະມວນຜົນທີ່ບໍ່ຖືກຕ້ອງຂອງໄຟລ໌ຮູບພາບທີ່ດາວໂຫຼດມາໂດຍຕົວແຍກວິເຄາະພາຍນອກໂດຍອີງໃສ່ຫ້ອງສະໝຸດ ExifTool. ຊ່ອງໂຫວ່ໃນ ExifTool (CVE-2021-22204) ອະນຸຍາດໃຫ້ຄໍາສັ່ງ arbitrary ປະຕິບັດໃນລະບົບໃນເວລາທີ່ parsing metadata ຈາກໄຟລ໌ໃນຮູບແບບ DjVu: (metadata (ລິຂະສິດ "\" . qx{echo test >/tmp/test} . \ "ຂ"))

ຍິ່ງໄປກວ່ານັ້ນ, ເນື່ອງຈາກວ່າຮູບແບບຕົວຈິງໄດ້ຖືກກໍານົດໄວ້ໃນ ExifTool ໂດຍປະເພດເນື້ອຫາ MIME, ແລະບໍ່ແມ່ນການຂະຫຍາຍໄຟລ໌, ຜູ້ໂຈມຕີສາມາດດາວໂຫລດເອກະສານ DjVu ດ້ວຍການຂູດຮີດພາຍໃຕ້ຮູບ JPG ຫຼື TIFF ປົກກະຕິ (GitLab ໂທຫາ ExifTool ສໍາລັບໄຟລ໌ທັງຫມົດທີ່ມີ. jpg, jpeg extensions ແລະ tiff ເພື່ອເຮັດຄວາມສະອາດ tags ທີ່ບໍ່ຈໍາເປັນ). ຕົວຢ່າງຂອງການຂູດຮີດ. ໃນການຕັ້ງຄ່າເລີ່ມຕົ້ນຂອງ GitLab CE, ການໂຈມຕີສາມາດຖືກປະຕິບັດໂດຍການສົ່ງສອງຄໍາຮ້ອງຂໍທີ່ບໍ່ຮຽກຮ້ອງໃຫ້ມີການກວດສອບຄວາມຖືກຕ້ອງ.

ຜູ້ໃຊ້ GitLab ໄດ້ຖືກແນະນໍາເພື່ອຮັບປະກັນວ່າພວກເຂົາກໍາລັງໃຊ້ສະບັບປະຈຸບັນແລະ, ຖ້າພວກເຂົາໃຊ້ການປ່ອຍລ້າສະໄຫມ, ໃຫ້ຕິດຕັ້ງການອັບເດດທັນທີ, ແລະຖ້າສໍາລັບເຫດຜົນບາງຢ່າງນີ້ເປັນໄປບໍ່ໄດ້, ໃຫ້ເລືອກໃຊ້ patch ທີ່ຂັດຂວາງຊ່ອງໂຫວ່. ຜູ້ໃຊ້ຂອງລະບົບທີ່ບໍ່ໄດ້ຮັບການປັບປຸງຍັງໄດ້ຮັບການແນະນໍາເພື່ອຮັບປະກັນວ່າລະບົບຂອງພວກເຂົາບໍ່ຖືກທໍາລາຍໂດຍການວິເຄາະບັນທຶກແລະກວດເບິ່ງບັນຊີຜູ້ໂຈມຕີທີ່ຫນ້າສົງໄສ (ຕົວຢ່າງ: dexbcx, dexbcx818, dexbcxh, dexbcxi ແລະ dexbcxa99).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru