Utviklerne av Alpine-distribusjonen Linux De avslørte informasjon om forsøk på å hacke den samarbeidende utviklingsplattformen gitlab.alpinelinux.org, hvor det ble utført arbeid med APK-pakkebehandleren, byggeverktøy, infrastrukturkomponenter og pakkebyggeskript (aports). Angrepet ble utført ved å utnytte en sårbarhet i GitLab-plattformen forårsaket av et heltallsoverløp i Rubys regulære uttrykksmotor. Ingen bevis eller spor etter et vellykket hack ble funnet, men siden det er umulig å fullstendig utelukke vellykket utnyttelse av sårbarheten, ble GitLab-containeren ansett som potensielt kompromittert, og innholdet ble fullstendig gjenoppbygd fra bunnen av, og en prosedyre for tilbakestilling av passord ble igangsatt for brukere.
Administratorer av alpin infrastruktur Linux Ingen tredjepartsfiler, mistenkelige kjørende prosesser, uvanlige API-kall, endringer i innstillinger eller systemfiler eller belastningstopper som er typiske for masseutvinning av data ble oppdaget. En analyse av integriteten til aports-repositoriet, pakker og utgivelsesfiler, samt verifisering av disse mot kopier fra eksterne byggeservere og utviklersystemer, avdekket ingen skjulte endringer.
Mangelen på informasjon om utgående nettverkstilkoblinger, sletting av noen logger under rotasjon (for eksempel cron-loggen) og mangelen på tilstrekkelige detaljer i webserverloggene (vellykket bruk av en utnyttelse som ikke resulterer i et krasj gjenspeiles ikke i loggen) gjør det umulig å utelukke et vellykket angrep fullstendig.
Hvis angrepet var vellykket, kunne angriperne få tilgang til databasen som inneholder data om alle GitLab-brukere (passord-hasher, e-post, IP-adresser osv.), miljøvariabler og tokener fra kontinuerlige integrasjonssystemer, tofaktorautentiseringskoder, hash-er av personlige tilgangstokener, innholdet i private arkiver og konfidensielle diskusjoner om problemstillinger. Nøkler for å generere digitale signaturer for utgivelser og pakker på den angrepne serveren. server ble ikke lagret.
De første forsøkene på å utnytte sårbarheten ble registrert 20. og 21. oktober. Angriperen registrerte en GitLab-konto og forsøkte å sende endrede innstillinger til det kontinuerlige integrasjonssystemet. Loggene registrerte åtte GitLab-prosesskrasj, hvorav fire var relatert til angrepet. Den første fasen av angrepet var vellykket, men den andre fasen mislyktes.
På tidspunktet for angrepet kjørte containeren en sårbar versjon av GitLab 19.3.4, som ble oppdatert til GitLab 19.3.6 22. oktober. Alpine-administratorer tok imidlertid ikke hensyn til at rettelsen bare var inkludert i de offisielle installasjonspakkene for GitLab 19.3.6, ikke i selve GitLab-koden, ettersom sårbarheten finnes i Ruby-verktøykjeden. Containeren fortsatte å bruke den eldre Ruby-verktøykjeden, og sårbarheten forble uoppdatert.
Den gjenværende sårbarheten ble først oppdaget 26. oktober. Analyse av logger viste at angriperne gjenopptok angrepene sine 25. og 26. oktober. 27. oktober ble tredjeparts tilgang til GitLab begrenset. 28. oktober ble innholdet gjenoppbygd, alle passord ble tilbakestilt (brukere måtte angi et nytt passord via prosedyren for gjenoppretting av glemt passord), og tilgangsnøkler ble erstattet. 29. oktober ble en oppdatert serveren ble satt i drift. Docker-containeren alpinelinux/gitlab, som ble vedlikeholdt av prosjektet, forble sårbar frem til 27. oktober.
Kilde: opennet.ru
