Zusammenfassung
- Ein RCE wurde in GitLab Server entdeckt und CVE-2022-2185 zugeordnet
- Der Exploit erfordert ein gültiges Konto, aber das Standardverhalten des Servers erlaubt die Erstellung neuer Konten mit Genehmigung des Administrators.
- Censys Benutzer können GitLab-Server mit der folgenden Abfrage finden: Censys Search
- Sehen Sie sich unser GitLab Dashboard an, das alle 24 Stunden aktualisiert wird.
Einführung
Am 1. Juli 2022 wurde CVE-2022-2185, ein kritisches Problem im GitLab-Server, veröffentlicht, das es einem authentifizierten Benutzer ermöglicht, eine Anfrage zu erstellen, die zu einer Remotecodeausführung (RCE) führt. Die folgenden Versionen von GitLab sind betroffen:
- 14.0 (behoben in v14.10.5)
- 15.0 (behoben in v15.0.4)
- 15.1 (behoben in v15.1.1)
Es ist wichtig zu verstehen, dass ein Angreifer über eine gültige Anmeldung beim GitLab-Dienst verfügen muss, damit dieser Exploit erfolgreich sein kann. Der Standarddienst ermöglicht es Benutzern, sich anzumelden und mit ihren Anmeldedaten ein Konto zu erstellen. Außerdem muss ein Administrator ausdrücklich die Einstellung "Genehmigung des Administrators für neue Anmeldungen erforderlich" deaktivieren, damit der Benutzer ein Konto ohne vorherige Genehmigung durch einen Administrator erhält.
Es mag zwar unwahrscheinlich klingen, dass ein Angreifer einen Administrator dazu bringen kann, eine solche Anfrage zu genehmigen, aber es ist durchaus denkbar. Ein Remote-Benutzer kann den Angriff auch auf Systemen durchführen, deren Anmeldeinformationen geknackt, gestohlen, weitergegeben oder legal erlangt wurden. Wenn der Angriff erfolgreich ist, kann ein Benutzer auf Shell-Ebene Zugriff auf den zugrunde liegenden Host erhalten, auf dem der GitLab-Dienst läuft, und sich so freier in den Ressourcen des Opfers bewegen.
Identifizierung von GitLab-Instanzen
Mit denselben Methoden, mit denen wir die GitLab-Versionen für CVE-2021-22205 identifiziert haben, konnten wir feststellen, dass bestimmte Dateinamen, die im HTTP-Antwortkörper gefunden wurden, mit bestimmten Versionen von GitLab Server verknüpft werden konnten. Kurz gesagt, wenn ein neuer Build markiert wird, startet das Continuous Integration (CI)-System von GitLab neben vielen anderen Ereignissen einen Job, der statische Assets kompiliert. Dieser Job führt dazu, dass einige Dateien eine eindeutige Dateierweiterung haben, die die laufende Software lose der ursprünglichen Version zuordnen kann.
Beispielsweise scheint die Datei "public/assets/application.css" für jede Unterversion der Software einen eindeutig generierten Dateinamen zu haben, der eine 64 Byte lange ASCII-HEX-kodierte Zeichenkette enthält, die an das Ende des Dateinamens angehängt wird.
Es gibt einige Überschneidungen bei dem, was wir identifizieren können und was verwundbar ist und was nicht; zum Beispiel haben die Datei, die mit v14.10.1 (eine verwundbare Version von GitLab) und v.14.10.5 (die korrigierte Version) verbunden ist, denselben Dateinamen. Diese Überschneidung gilt auch für die Versionen 15.0.2 und 15.0.3, die denselben Dateinamen haben wie die korrigierte Version 15.0.4. Und schließlich hat die Version 15.1.0 denselben Dateinamen wie die feste Version(v15.1.1).
Zum Zeitpunkt der Erstellung dieses Berichts (24. Juli 2022) hatCensys 17.828 Hosts mit einer zugehörigen Version beobachtet, die für diesen Angriff anfällig sein könnten (ohne Hosts der Version 14.10 aufgrund der Versionsüberschneidung). Von diesen Hosts haben nur 6.759 die Erstellung neuer Konten aktiviert. Leider kann Censys nicht überprüfen, ob diese Hosts eine Admin-Genehmigung für neue Anmeldungen benötigen. Da diese Einstellung jedoch die Standardeinstellung ist, besteht eine hohe Wahrscheinlichkeit, dass eine Genehmigung erforderlich ist.
| Land |
Hosts |
| China |
3,646 |
| Vereinigte Staaten |
452 |
| Südkorea |
447 |
| Deutschland |
391 |
| Russland |
280 |
Geografisch gesehen befinden sich die meisten Hosts, auf denen eine passende Version von GitLab mit aktivierter Kontenerstellung läuft, in China (3 646 Hosts). Die Vereinigten Staaten folgen mit 452 Hosts, dicht gefolgt von Südkorea mit nur 447 Hosts.
Um die allgemeine Gemeinschaft bei der Überwachung dieser Schwachstellen zu unterstützen, hat Censys ein öffentliches GitLab-spezifisches interaktives Dashboard erstellt, das sowohl CVE-2022-2185 als auch CVE-2021-22205 verfolgt und alle 24 Stunden aktualisiert wird. Damit können Benutzer verschiedene Felder filtern, die sich auf GitLab beziehen (einschließlich der Frage, ob Statistiken zu GitLab-Servern mit offener Kontoerstellung angezeigt werden sollen). Censys wird in den kommenden Tagen neue Funktionen und Statistiken hinzufügen.
