„Alpine“ platinimo kūrėjai Linux Jie atskleidė informaciją apie bandymus nulaužti bendradarbiavimo kūrimo platformą „gitlab.alpinelinux.org“, kurioje buvo dirbama su APK paketų tvarkykle, kūrimo įrankiais, infrastruktūros komponentais ir paketų kūrimo scenarijais („aports“). Ataka buvo įvykdyta išnaudojant „GitLab“ platformos pažeidžiamumą, kurį sukėlė sveikųjų skaičių perpildymas „Ruby“ reguliariųjų išraiškų variklyje. Nerasta jokių sėkmingo įsilaužimo įrodymų ar pėdsakų, tačiau kadangi neįmanoma visiškai atmesti sėkmingo pažeidžiamumo išnaudojimo, „GitLab“ konteineris buvo laikomas potencialiai pažeistu, jo turinys buvo visiškai atkurtas nuo nulio ir vartotojams buvo pradėta slaptažodžio atkūrimo procedūra.
Alpių infrastruktūros administratoriai Linux Nebuvo aptikta jokių trečiųjų šalių failų, įtartinų veikiančių procesų, neįprastų API iškvietimų, nustatymų ar sistemos failų pakeitimų ar masinio duomenų išgavimo metu būdingų apkrovos šuolių. Analizuojant „aports“ saugyklos, paketų ir išleidimo failų vientisumą, taip pat juos patikrinus pagal kopijas iš išorinių kompiliavimo serverių ir kūrėjų sistemų, jokių paslėptų pakeitimų nenustatyta.
Informacijos apie išeinančius tinklo ryšius trūkumas, kai kurių žurnalų ištrynimas rotacijos metu (pvz., „cron“ žurnalas) ir nepakankamai išsamios informacijos pateikimas žiniatinklio serverio žurnaluose (sėkmingas spragų išnaudojimas, nesukeliantis gedimo, žurnale neatsispindi) neleidžia visiškai atmesti sėkmingos atakos galimybės.
Jei ataka būtų sėkminga, užpuolikai galėtų gauti prieigą prie duomenų bazės, kurioje yra visų „GitLab“ vartotojų duomenys (slaptažodžių maišos, el. pašto adresai, IP adresai ir kt.), aplinkos kintamuosius ir žetonus iš nuolatinės integracijos sistemų, dviejų veiksnių autentifikavimo kodus, asmeninių prieigos žetonų maišas, privačių saugyklų turinį ir konfidencialias problemų diskusijas. Raktai, skirti skaitmeniniams parašams generuoti versijoms ir paketams atakuotame serveryje. serveris nebuvo saugomi.
Pirmieji bandymai išnaudoti pažeidžiamumą buvo užfiksuoti spalio 20 ir 21 dienomis. Užpuolikas užregistravo „GitLab“ paskyrą ir bandė nusiųsti pakeistus nustatymus į nuolatinės integracijos sistemą. Žurnaluose užfiksuoti aštuoni „GitLab“ proceso gedimai, iš kurių keturi buvo susiję su pažeidžiamumu. Pirmasis išnaudojimo etapas buvo sėkmingas, tačiau antrasis etapas nepavyko.
Atakos metu konteineryje veikė pažeidžiama „GitLab 19.3.4“ versija, kuri spalio 22 d. buvo atnaujinta į „GitLab 19.3.6“. Tačiau „Alpine“ administratoriai neatsižvelgė į tai, kad pataisymas buvo įtrauktas tik į oficialius „GitLab 19.3.6“ diegimo paketus, o ne į patį „GitLab“ kodą, nes pažeidžiamumas yra „Ruby“ įrankių grandinėje. Konteineris ir toliau naudojo senesnę „Ruby“ įrankių grandinę, o pažeidžiamumas liko nepataisytas.
Likęs pažeidžiamumas buvo aptiktas tik spalio 26 d. Žurnalų analizė parodė, kad užpuolikai atnaujino savo atakas spalio 25 ir 26 dienomis. Spalio 27 d. buvo apribota trečiųjų šalių prieiga prie „GitLab“. Spalio 28 d. turinys buvo atkurtas, visi slaptažodžiai buvo nustatyti iš naujo (vartotojai turėjo nustatyti naują slaptažodį naudodami pamiršto slaptažodžio atkūrimo procedūrą) ir prieigos raktai buvo pakeisti. Spalio 29 d. buvo atnaujinta... serverio buvo pradėtas eksploatuoti. Projekto prižiūrimas „Docker“ konteineris „alpinelinux/gitlab“ išliko pažeidžiamas iki spalio 27 d.
Šaltinis: opennet.ru
