GitLab корбаронро аз афзоиши фаъолияти зараровар вобаста ба истифодаи осебпазирии муҳими CVE-2021-22205 ҳушдор дод, ки ба шумо имкон медиҳад, ки коди худро бе аутентификатсия дар сервере, ки платформаи рушди муштараки GitLab-ро истифода мебарад, фосилаи дур иҷро кунед.
Ин масъала дар GitLab аз версияи 11.9 мавҷуд аст ва дар моҳи апрел дар GitLab релизҳои 13.10.3, 13.9.6 ва 13.8.8 ислоҳ карда шуд. Бо вуҷуди ин, аз рӯи сканкунии 31 октябри шабакаи глобалии 60 мисолҳои дастраси GitLab, 50% системаҳо версияҳои кӯҳнаи GitLab-ро истифода мебаранд, ки ба осебпазирӣ осебпазиранд. Навсозиҳои зарурӣ танҳо дар 21% серверҳои санҷидашуда насб карда шуданд ва дар 29% системаҳо муайян кардани рақами версияи истифодашаванда имкон надошт.
Муносибати беэҳтиётонаи маъмурони сервери GitLab ба насб кардани навсозиҳо ба он оварда расонд, ки осебпазирӣ аз ҷониби ҳамлагарон фаъолона истифода мешуд ва онҳо ба ҷойгир кардани нармафзори зараровар дар серверҳо ва пайваст кардани онҳо ба кори ботнети иштирок дар ҳамлаҳои DDoS шурӯъ карданд. Дар авҷи худ, ҳаҷми трафик ҳангоми ҳамлаи DDoS, ки аз ҷониби ботнет дар асоси серверҳои осебпазири GitLab тавлид шудааст, ба 1 терабит дар як сония расид.
Ин осебпазирӣ дар натиҷаи коркарди нодурусти файлҳои тасвирии зеркашидашуда аз ҷониби таҳлилгари беруна дар асоси китобхонаи ExifTool ба вуҷуд омадааст. Осебӣ дар ExifTool (CVE-2021-22204) имкон дод, ки дар система фармонҳои худсарона ҳангоми таҳлили метамаълумот аз файлҳои формати DjVu иҷро шаванд: (метадата (Ҳуқуқи муаллифӣ "\ " . qx{echo test >/tmp/test} . \ "б"))
Ғайр аз он, азбаски формати воқеӣ дар ExifTool аз рӯи намуди мундариҷаи MIME муайян карда шуда буд, на васеъшавии файл, ҳамлакунанда метавонад ҳуҷҷати DjVu-ро бо истисмор зери ниқоби тасвири муқаррарии JPG ё TIFF зеркашӣ кунад (GitLab ExifTool-ро барои ҳама файлҳои дорои jpg, васеъшавии jpeg ва tiff барои тоза кардани барчаспҳои нолозим). Намунаи истисмор. Дар конфигуратсияи пешфарзии GitLab CE, ҳамларо тавассути фиристодани ду дархост, ки аутентификатсияро талаб намекунанд, анҷом додан мумкин аст.
Ба корбарони GitLab тавсия дода мешавад, ки версияи ҷорӣро истифода баранд ва агар онҳо версияи кӯҳнаро истифода баранд, фавран навсозиро насб кунанд ва агар бо ягон сабаб ин имконнопазир бошад, ба таври интихобӣ ямоқи, ки осебпазириро маҳкам мекунад, татбиқ кунанд. Ба корбарони системаҳои навсозишуда инчунин тавсия дода мешавад, ки системаи онҳо тавассути таҳлили гузоришҳо ва тафтиши ҳисобҳои шубҳаноки ҳамлагарон осеб надиҳад (масалан, dexbcx, dexbcx818, dexbcxh, dexbcxi ва dexbcxa99).
Манбаъ: opennet.ru