Alpine dağıtımının geliştiricileri Linux GitLab.alpinelinux.org ortak geliştirme platformuna yönelik siber saldırı girişimleri hakkında bilgi verdiler. Bu platformda APK paket yöneticisi, derleme araçları, altyapı bileşenleri ve paket derleme komut dosyaları (aportlar) üzerinde çalışmalar yürütülüyordu. Saldırı, Ruby düzenli ifade motorundaki tamsayı taşması nedeniyle GitLab platformunda oluşan bir güvenlik açığından yararlanılarak gerçekleştirildi. Başarılı bir saldırının kanıtı veya izi bulunamadı, ancak güvenlik açığının başarılı bir şekilde istismar edilmesini tamamen dışlamak mümkün olmadığından, GitLab konteynerinin potansiyel olarak tehlikeye atıldığı düşünüldü ve içeriği sıfırdan tamamen yeniden oluşturuldu ve kullanıcılar için parola sıfırlama prosedürü başlatıldı.
Alp Altyapı Yöneticileri Linux Üçüncü taraf dosyalar, şüpheli çalışan işlemler, olağandışı API çağrıları, ayarlarda veya sistem dosyalarında değişiklikler veya toplu veri çıkarma işlemlerine özgü yük artışları tespit edilmedi. Aports deposunun, paketlerin ve sürüm dosyalarının bütünlüğünün analizi ve bunların harici derleme sunucularından ve geliştirici sistemlerinden alınan kopyalara karşı doğrulanması, gizli değişikliklerin olmadığını ortaya koydu.
Giden ağ bağlantıları hakkında bilgi eksikliği, rotasyon sırasında bazı günlüklerin silinmesi (örneğin, cron günlüğü) ve web sunucusu günlüklerinde yeterli ayrıntının bulunmaması (çökme ile sonuçlanmayan bir güvenlik açığının başarılı bir şekilde kullanılması günlüğe yansımamaktadır) başarılı bir saldırıyı tamamen dışlamayı imkansız kılmaktadır.
Saldırı başarılı olursa, saldırganlar tüm GitLab kullanıcılarına ait verileri (parola karmaları, e-posta, vb.) içeren veritabanına erişim sağlayabilirler. IP adresleri vb.), sürekli entegrasyon sistemlerinden gelen ortam değişkenleri ve belirteçler, iki faktörlü kimlik doğrulama kodları, kişisel erişim belirteçlerinin özetleri, özel depoların içeriği ve konulara ilişkin gizli tartışmalar. Saldırıya uğrayan sunucudaki sürümler ve paketler için dijital imzalar oluşturmak için kullanılan anahtarlar. sunucu saklanmadı.
Güvenlik açığından yararlanmaya yönelik ilk girişimler 20 ve 21 Ekim tarihlerinde kaydedildi. Saldırgan bir GitLab hesabı açtı ve sürekli entegrasyon sistemine değiştirilmiş ayarlar göndermeye çalıştı. Kayıtlarda sekiz GitLab işlem çökmesi görüldü ve bunların dördü saldırıyla ilgiliydi. Saldırının ilk aşaması başarılı oldu, ancak ikinci aşama başarısız oldu.
Saldırı sırasında konteyner, 22 Ekim'de GitLab 19.3.6'ya güncellenen, güvenlik açığı bulunan bir GitLab 19.3.4 sürümünü çalıştırıyordu. Ancak Alpine yöneticileri, düzeltmenin yalnızca resmi GitLab 19.3.6 kurulum paketlerinde bulunduğunu, GitLab kodunun kendisinde olmadığını ve güvenlik açığının Ruby araç zincirinde mevcut olduğunu dikkate almadılar. Konteyner eski Ruby araç zincirini kullanmaya devam etti ve güvenlik açığı giderilmeden kaldı.
Geriye kalan güvenlik açığı ancak 26 Ekim'de keşfedildi. Kayıtların analizi, saldırganların 25 ve 26 Ekim'de saldırılarına devam ettiğini ortaya çıkardı. 27 Ekim'de GitLab'e üçüncü taraf erişimi kısıtlandı. 28 Ekim'de içerik yeniden oluşturuldu, tüm parolalar sıfırlandı (kullanıcıların unutulan parola kurtarma prosedürü aracılığıyla yeni bir parola belirlemeleri gerekiyordu) ve erişim anahtarları değiştirildi. 29 Ekim'de güncellenmiş bir sürüm yayınlandı. sunucu Proje tarafından sürdürülen alpinelinux/gitlab adlı Docker konteyneri devreye alındı. Bu konteyner 27 Ekim'e kadar güvenlik açığından etkilenmedi.
Kaynak: opennet.ru
