Các nhà phát triển của hệ điều hành Alpine Linux Họ đã tiết lộ thông tin về các nỗ lực tấn công mạng vào nền tảng phát triển cộng tác gitlab.alpinelinux.org, nơi tiến hành công việc trên trình quản lý gói APK, công cụ xây dựng, các thành phần cơ sở hạ tầng và các tập lệnh xây dựng gói (aports). Cuộc tấn công được thực hiện bằng cách khai thác lỗ hổng trong nền tảng GitLab do lỗi tràn số nguyên trong công cụ biểu thức chính quy Ruby gây ra. Không tìm thấy bằng chứng hoặc dấu vết nào về một cuộc tấn công thành công, nhưng vì không thể loại trừ hoàn toàn khả năng khai thác thành công lỗ hổng, nên vùng chứa GitLab được coi là có khả năng bị xâm phạm và nội dung của nó đã được xây dựng lại hoàn toàn từ đầu, đồng thời quy trình đặt lại mật khẩu đã được bắt đầu cho người dùng.
Quản trị viên cơ sở hạ tầng Alpine Linux Không phát hiện thấy bất kỳ tập tin bên thứ ba nào, các tiến trình đang chạy đáng ngờ, các lệnh gọi API bất thường, thay đổi cài đặt hoặc tập tin hệ thống, hoặc các đột biến tải điển hình của việc trích xuất dữ liệu hàng loạt. Phân tích tính toàn vẹn của kho lưu trữ aports, các gói và tập tin phát hành, cũng như việc xác minh chúng so với các bản sao từ máy chủ xây dựng bên ngoài và hệ thống của nhà phát triển, không cho thấy bất kỳ thay đổi ẩn nào.
Việc thiếu thông tin về các kết nối mạng đi ra, việc xóa một số nhật ký trong quá trình xoay vòng (ví dụ: nhật ký cron) và việc thiếu chi tiết đầy đủ trong nhật ký máy chủ web (việc sử dụng thành công một lỗ hổng bảo mật mà không gây ra sự cố sập hệ thống không được phản ánh trong nhật ký) khiến cho việc loại trừ hoàn toàn khả năng tấn công thành công là điều không thể.
Nếu cuộc tấn công thành công, kẻ tấn công có thể truy cập vào cơ sở dữ liệu chứa thông tin về tất cả người dùng GitLab (mật khẩu băm, email, v.v.) Các địa chỉ IP (v.v.), các biến môi trường và mã thông báo từ hệ thống tích hợp liên tục, mã xác thực hai yếu tố, hàm băm của mã thông báo truy cập cá nhân, nội dung của các kho lưu trữ riêng tư và các cuộc thảo luận bí mật về các vấn đề. Khóa để tạo chữ ký số cho các bản phát hành và gói trên máy chủ bị tấn công. người phục vụ không được lưu trữ.
Những nỗ lực đầu tiên nhằm khai thác lỗ hổng này được ghi nhận vào ngày 20 và 21 tháng 10. Kẻ tấn công đã đăng ký một tài khoản GitLab và cố gắng gửi các thiết lập đã sửa đổi đến hệ thống tích hợp liên tục. Nhật ký ghi nhận tám lần hệ thống GitLab bị sập, trong đó bốn lần liên quan đến việc khai thác. Giai đoạn đầu của cuộc tấn công đã thành công, nhưng giai đoạn thứ hai đã thất bại.
Tại thời điểm xảy ra cuộc tấn công, container đang chạy phiên bản GitLab 19.3.4 dễ bị tổn thương, phiên bản này đã được cập nhật lên GitLab 19.3.6 vào ngày 22 tháng 10. Tuy nhiên, các quản trị viên của Alpine đã không tính đến việc bản vá lỗi chỉ được bao gồm trong các gói cài đặt chính thức của GitLab 19.3.6, chứ không phải trong chính mã nguồn của GitLab, vì lỗ hổng nằm trong bộ công cụ Ruby. Container tiếp tục sử dụng bộ công cụ Ruby cũ hơn, và lỗ hổng vẫn không được vá.
Lỗ hổng còn lại chỉ được phát hiện vào ngày 26 tháng 10. Phân tích nhật ký cho thấy những kẻ tấn công đã tiếp tục các cuộc tấn công vào ngày 25 và 26 tháng 10. Vào ngày 27 tháng 10, quyền truy cập của bên thứ ba vào GitLab đã bị hạn chế. Vào ngày 28 tháng 10, nội dung đã được xây dựng lại, tất cả mật khẩu đã được đặt lại (người dùng được yêu cầu đặt mật khẩu mới thông qua quy trình khôi phục mật khẩu đã quên) và các khóa truy cập đã được thay thế. Vào ngày 29 tháng 10, một bản cập nhật đã được phát hành. máy chủ đã được đưa vào hoạt động. Container Docker alpinelinux/gitlab, do dự án duy trì, vẫn dễ bị tấn công cho đến ngày 27 tháng 10.
Nguồn: opennet.ru
