Watengenezaji wa usambazaji wa Alpine Linux Walifichua taarifa kuhusu majaribio ya kudukua jukwaa shirikishi la ukuzaji wa gitlab.alpinelinux.org, ambapo kazi kwenye meneja wa kifurushi cha APK, zana za ujenzi, vipengele vya miundombinu, na hati za ujenzi wa kifurushi (aports) ilifanywa. Shambulio hilo lilifanywa kwa kutumia udhaifu katika jukwaa la GitLab uliosababishwa na kufurika kwa nambari kamili katika injini ya usemi wa kawaida ya Ruby. Hakuna ushahidi au alama za udukuzi uliofanikiwa zilizopatikana, lakini kwa kuwa haiwezekani kuondoa kabisa unyonyaji uliofanikiwa wa udhaifu, chombo cha GitLab kilionekana kuwa na uwezekano wa kuathiriwa na yaliyomo yake yalijengwa upya kabisa kuanzia mwanzo, na utaratibu wa kuweka upya nenosiri ulianzishwa kwa watumiaji.
Wasimamizi wa Miundombinu ya Alpine Linux Hakuna faili za wahusika wengine, michakato ya kutiliwa shaka inayoendeshwa, simu zisizo za kawaida za API, mabadiliko kwenye mipangilio au faili za mfumo, au miisho ya upakiaji ambayo ni ya kawaida wakati wa uchimbaji wa data nyingi iliyogunduliwa. Uchambuzi wa uadilifu wa hazina ya bandari, vifurushi, na faili za kutolewa, pamoja na uthibitishaji wake dhidi ya nakala kutoka kwa seva za nje za ujenzi na mifumo ya wasanidi programu, haukuonyesha mabadiliko yoyote yaliyofichwa.
Ukosefu wa taarifa kuhusu miunganisho ya mtandao inayotoka, kufutwa kwa baadhi ya kumbukumbu wakati wa mzunguko (kwa mfano, kumbukumbu ya cron), na ukosefu wa maelezo ya kutosha katika kumbukumbu za seva ya wavuti (matumizi ya mafanikio ya unyonyaji ambao hausababishi ajali hayaonekani kwenye kumbukumbu) hufanya iwe vigumu kuondoa kabisa shambulio lililofanikiwa.
Ikiwa shambulio hilo lingefanikiwa, washambuliaji wangeweza kupata hifadhidata iliyo na data kuhusu watumiaji wote wa GitLab (hashes za nenosiri, barua pepe, Anwani za IP n.k.), vigezo vya mazingira na tokeni kutoka kwa mifumo endelevu ya ujumuishaji, misimbo ya uthibitishaji ya vipengele viwili, mistari ya tokeni za ufikiaji binafsi, yaliyomo kwenye hazina za kibinafsi, na majadiliano ya siri ya masuala. Funguo za kutoa sahihi za kidijitali kwa ajili ya kutolewa na vifurushi kwenye seva iliyoshambuliwa. seva hazikuhifadhiwa.
Majaribio ya kwanza ya kutumia udhaifu huo yalirekodiwa mnamo Oktoba 20 na 21. Mshambuliaji alisajili akaunti ya GitLab na kujaribu kutuma mipangilio iliyorekebishwa kwenye mfumo endelevu wa ujumuishaji. Kumbukumbu zilirekodi ajali nane za mchakato wa GitLab, nne kati ya hizo zilihusiana na unyonyaji. Awamu ya kwanza ya unyonyaji ilifanikiwa, lakini hatua ya pili ilishindwa.
Wakati wa shambulio hilo, kontena lilikuwa likitumia toleo dhaifu la GitLab 19.3.4, ambalo lilisasishwa hadi GitLab 19.3.6 mnamo Oktoba 22. Hata hivyo, wasimamizi wa Alpine walishindwa kuzingatia kwamba marekebisho hayo yalijumuishwa tu katika vifurushi rasmi vya usakinishaji wa GitLab 19.3.6, si katika msimbo wa GitLab wenyewe, kwani udhaifu upo katika mnyororo wa zana wa Ruby. Kontena liliendelea kutumia mnyororo wa zana wa Ruby wa zamani, na udhaifu huo ulibaki bila viraka.
Udhaifu uliobaki uligunduliwa tu mnamo Oktoba 26. Uchambuzi wa kumbukumbu ulibaini kuwa washambuliaji walianza tena mashambulizi yao mnamo Oktoba 25 na 26. Mnamo Oktoba 27, ufikiaji wa mtu mwingine kwenye GitLab ulizuiliwa. Mnamo Oktoba 28, yaliyomo yalijengwa upya, manenosiri yote yaliwekwa upya (watumiaji walihitajika kuweka nenosiri jipya kupitia utaratibu wa kurejesha nenosiri uliosahaulika), na funguo za ufikiaji zilibadilishwa. Mnamo Oktoba 29, sasisho lililosasishwa seva ilianzishwa. Kontena la Docker alpinelinux/gitlab, ambalo lilitunzwa na mradi huo, lilibaki katika hatari hadi Oktoba 27.
Chanzo: opennet.ru
