Zhvilluesit e distribucionit Alpine Linux zbuluan informacion rreth përpjekjeve për të hyrë në platformën e zhvillimit të përbashkët gitlab.alpinelinux.org, ku po punohej mbi menaxherin e paketave APK, mjetet ndërtuese, komponentët e infrastrukturës dhe skriptet për ndërtimin e pakove (aports). Sulmi u krye përmes shfrytëzimit të një vulnerabiliteti në platformën GitLab, të shkaktuar nga mbipopullimi i numrave të plotë në motorin e shprehjeve të rregullta të gjuhës Ruby. Nuk u gjetën prova dhe shenja të një hacks të suksesshëm, por pasi që përjashtimi i plotë i shfrytëzimit të suksesshëm të vulnerabilitetit është i pamundur, kontejneri me GitLab u shpall potencialisht i komprometuar dhe përmbajtja e tij u rinovua nga zero, ndërsa përdoruesit filluan procedurën e ndërrimit të fjalëkalimeve.
Administratorët e infrastrukturës Alpine Linux nuk zbuluan shfaqjen e skedave të huaja, procese të dyshimta të aktivizuara, kërkesa të çuditshme në API, ndryshime në cilësimet dhe skedat sistemore, si dhe rritje të ngarkesës që janë karakteristike për nxjerrjen masive të të dhënave. Gjatë analizës së integritetit të depozitës aports, paketave dhe skedave me lëshime, si dhe përputhjes së tyre me kopjet nga serverat e jashtëm të ndërtimit dhe sistemet e zhvilluesve, nuk u zbuluan ndryshime të fshehura.
Përjashtimi i plotë i një sulmi të suksesshëm nuk lejohet nga mungesa e informacionit mbi lidhjet e jashtme të rrjetit, fshirjen e disa regjistrave gjatë rotacionit (p.sh., regjistri i cron-it) dhe mungesën e detajimit të duhur në regjistrat e serverit web (aplikimi i suksesshëm i një eksploiti, që nuk rezulton në mbyllje emergjente, nuk shfaqet në regjistër).
NĂ« rast tĂ« njĂ« sulmi tĂ« suksesshĂ«m, sulmuesit mund tĂ« kishin qasje nĂ« DB me tĂ« dhĂ«nat pĂ«r tĂ« gjithĂ« pĂ«rdoruesit e GitLab (hash-et e fjalĂ«kalimeve, email, Adresa IP etj.), variablat e ambientit dhe tokenet nga sistemet e integrimit tĂ« vazhdueshĂ«m, kodet e dyfishtĂ« tĂ« autentikimit, hash-et e tokeneve personale tĂ« aksesit, pĂ«rmbajtjen e depozitave tĂ« privata dhe diskutimet konfidenciale tĂ« problemeve. ĂelĂ«sat pĂ«r formimin e nĂ«nshkrimeve digjitale pĂ«r lĂ«shimet dhe paketat nĂ« tĂ« sulmuarĂ«n server nuk u ruajtĂ«n.
Përpjekjet e para për të shfrytëzuar dobësinë u regjistruan më 20 dhe 21 tetor. Sulmuesi regjistroi një llogari në GitLab dhe përpiqej të dërgonte konfigurime të modifikuara për sistemin e integrimit të vazhdueshëm. Në loge u regjistruan 8 përfundime fatale të proceseve të GitLab, nga të cilat 4 ishin të lidhura me përdorimin e exploit-it. Shënohet se faza e parë e punës së exploit-it ishte e suksesshme, por faza e dytë përfundoi me dështim.
Në momentin e sulmit, në konteiner po përdorej versioni i dobët GitLab 19.3.4, i cili më 22 tetor u përditësua në lëshimin GitLab 19.3.6. Por administratorët e Alpine nuk e kishin marrë parasysh se riparimi ishte bërë vetëm në paketat instalimi zyrtare të GitLab 19.3.6 dhe jo në kodin e vet GitLab, pasi dobësia ishte e pranishme në mjetin Ruby. Në konteiner vazhdoi të përdorej një mjet i vjetër Ruby dhe dobësia mbeti e pa riparuar.
Fakti që sistemi mbetet i dobët u identifikua vetëm më 26 tetor. Analiza e logeve tregoi se më 25 dhe 26 tetor sulmuesit rinisën përpjekjet për të kryer sulmin. Më 27 tetor, akseset e përdoruesve të jashtëm në GitLab u kufizuan. Më 28 tetor, përmbajtja u rindërtua, të gjitha fjalëkalimet u rivendosën (përdoruesit duhet të vendosin një fjalëkalim të ri përmes procedurës së rikuperimit të fjalëkalimit të harruar), dhe çelësat e aksesit u zëvendësuan. Më 29 tetor, versioni i ri server u vendos në funksion. Projekti i bazuar në konteinerin Docker alpinelinux/gitlab mbeti i dobët deri më 27 tetor.
Burimi: opennet.ru
