ผู้พัฒนาการจัดจำหน่ายแบบอัลไพน์ Linux พวกเขาเปิดเผยข้อมูลเกี่ยวกับการพยายามแฮ็กแพลตฟอร์มการพัฒนาร่วมกัน gitlab.alpinelinux.org ซึ่งเป็นที่ที่ทำการพัฒนาตัวจัดการแพ็กเกจ APK เครื่องมือสร้าง ส่วนประกอบโครงสร้างพื้นฐาน และสคริปต์การสร้างแพ็กเกจ (aports) การโจมตีดำเนินการโดยการใช้ประโยชน์จากช่องโหว่ในแพลตฟอร์ม GitLab ที่เกิดจากการโอเวอร์โฟลว์ของจำนวนเต็มในเอนจินนิพจน์ปกติของ Ruby ไม่พบหลักฐานหรือร่องรอยของการแฮ็กที่สำเร็จ แต่เนื่องจากเป็นไปไม่ได้ที่จะตัดความเป็นไปได้ของการใช้ประโยชน์จากช่องโหว่ที่สำเร็จออกไปได้ทั้งหมด จึงถือว่าคอนเทนเนอร์ GitLab อาจถูกบุกรุก และเนื้อหาภายในจึงถูกสร้างขึ้นใหม่ทั้งหมดตั้งแต่เริ่มต้น และได้เริ่มขั้นตอนการรีเซ็ตรหัสผ่านสำหรับผู้ใช้แล้ว
ผู้ดูแลระบบโครงสร้างพื้นฐานของ Alpine Linux ไม่พบไฟล์จากบุคคลที่สาม กระบวนการทำงานที่น่าสงสัย การเรียกใช้ API ที่ผิดปกติ การเปลี่ยนแปลงการตั้งค่าหรือไฟล์ระบบ หรือการโหลดที่พุ่งสูงขึ้นผิดปกติซึ่งมักเกิดขึ้นกับการดึงข้อมูลจำนวนมาก การวิเคราะห์ความสมบูรณ์ของที่เก็บข้อมูล aports แพ็กเกจ และไฟล์รุ่นต่างๆ รวมถึงการตรวจสอบกับสำเนาจากเซิร์ฟเวอร์สร้างภายนอกและระบบของนักพัฒนา ไม่พบการเปลี่ยนแปลงที่ซ่อนอยู่
การขาดข้อมูลเกี่ยวกับการเชื่อมต่อเครือข่ายขาออก การลบไฟล์บันทึกบางส่วนระหว่างการหมุนเวียน (เช่น ไฟล์บันทึก cron) และการขาดรายละเอียดที่เพียงพอในไฟล์บันทึกของเว็บเซิร์ฟเวอร์ (การใช้ช่องโหว่ที่ประสบความสำเร็จโดยไม่ทำให้ระบบล่มจะไม่ปรากฏในไฟล์บันทึก) ทำให้ไม่สามารถตัดความเป็นไปได้ของการโจมตีที่ประสบความสำเร็จออกไปได้อย่างสมบูรณ์
หากการโจมตีสำเร็จ ผู้โจมตีจะสามารถเข้าถึงฐานข้อมูลที่มีข้อมูลของผู้ใช้ GitLab ทั้งหมด (แฮชรหัสผ่าน อีเมล ฯลฯ) ที่อยู่ IP รวมถึงตัวแปรสภาพแวดล้อมและโทเค็นจากระบบการรวมระบบอย่างต่อเนื่อง รหัสการตรวจสอบสิทธิ์แบบสองปัจจัย แฮชของโทเค็นการเข้าถึงส่วนบุคคล เนื้อหาของที่เก็บข้อมูลส่วนตัว และการสนทนาที่เป็นความลับเกี่ยวกับประเด็นต่างๆ กุญแจสำหรับการสร้างลายเซ็นดิจิทัลสำหรับการเผยแพร่และแพ็กเกจบนเซิร์ฟเวอร์ที่ถูกโจมตี เซิร์ฟเวอร์ ไม่ได้ถูกจัดเก็บไว้
ความพยายามครั้งแรกในการใช้ประโยชน์จากช่องโหว่นี้ถูกบันทึกไว้เมื่อวันที่ 20 และ 21 ตุลาคม ผู้โจมตีได้ลงทะเบียนบัญชี GitLab และพยายามส่งการตั้งค่าที่แก้ไขแล้วไปยังระบบการรวมระบบอย่างต่อเนื่อง บันทึกพบการหยุดทำงานของกระบวนการ GitLab จำนวน 8 ครั้ง ซึ่ง 4 ครั้งเกี่ยวข้องกับการใช้ประโยชน์จากช่องโหว่นี้ ขั้นตอนแรกของการใช้ประโยชน์จากช่องโหว่นี้ประสบความสำเร็จ แต่ขั้นตอนที่สองล้มเหลว
ในขณะที่เกิดการโจมตี คอนเทนเนอร์กำลังใช้งาน GitLab เวอร์ชัน 19.3.4 ที่มีช่องโหว่ ซึ่งได้รับการอัปเดตเป็น GitLab 19.3.6 เมื่อวันที่ 22 ตุลาคม อย่างไรก็ตาม ผู้ดูแลระบบของ Alpine ไม่ได้คำนึงถึงว่าการแก้ไขช่องโหว่นั้นรวมอยู่ในแพ็กเกจการติดตั้ง GitLab 19.3.6 อย่างเป็นทางการเท่านั้น ไม่ได้อยู่ในโค้ดของ GitLab เอง เนื่องจากช่องโหว่นั้นมีอยู่ในชุดเครื่องมือ Ruby คอนเทนเนอร์จึงยังคงใช้ชุดเครื่องมือ Ruby เวอร์ชันเก่า และช่องโหว่นั้นก็ยังคงไม่ได้รับการแก้ไข
ช่องโหว่ที่เหลืออยู่ถูกค้นพบเมื่อวันที่ 26 ตุลาคมเท่านั้น การวิเคราะห์บันทึกแสดงให้เห็นว่าผู้โจมตีกลับมาโจมตีอีกครั้งในวันที่ 25 และ 26 ตุลาคม ในวันที่ 27 ตุลาคม การเข้าถึง GitLab จากบุคคลภายนอกถูกจำกัด ในวันที่ 28 ตุลาคม เนื้อหาถูกสร้างขึ้นใหม่ทั้งหมด รหัสผ่านถูกรีเซ็ต (ผู้ใช้ต้องตั้งรหัสผ่านใหม่ผ่านขั้นตอนการกู้คืนรหัสผ่านที่ลืม) และคีย์การเข้าถึงถูกแทนที่ ในวันที่ 29 ตุลาคม มีการอัปเดต เซิร์ฟเวอร์ ได้เริ่มใช้งานแล้ว คอนเทนเนอร์ Docker alpinelinux/gitlab ซึ่งดูแลโดยโครงการ ยังคงมีความเสี่ยงจนถึงวันที่ 27 ตุลาคม
ที่มา: opennet.ru
