CVE-2022-2185: Servidor GitLab

Resumen

• Se ha descubierto un RCE en el servidor GitLab y se le ha asignado CVE-2022-2185
• El exploit requiere una cuenta válida, pero el comportamiento por defecto del servidor permite la creación de nuevas cuentas con la aprobación del administrador.
• Censys los usuarios pueden encontrar servidores GitLab con la siguiente consulta de búsquedaCensys
• Consulta nuestro panel de control de GitLab, que se actualiza cada 24 horas.

Introducción

El 1 de julio de 2022, se hizo público CVE-2022-2185, un problema crítico en el servidor de GitLab, que permite a un usuario autenticado crear una solicitud que resulta en la ejecución remota de código (RCE). Las versiones de GitLab afectadas son las siguientes:

• 14.0 (corregido en v14.10.5)
• 15.0 (corregido en v15.0.4)
• 15.1 (corregido en v15.1.1)

Es importante entender que para que este exploit tenga éxito, un atacante debe tener un inicio de sesión válido en el servicio GitLab. El servicio por defecto permite a los usuarios registrarse y crear una cuenta utilizando sus credenciales. Además, un administrador debe desactivar explícitamente la opción "Requerir aprobación del administrador para nuevos registros" para que el usuario pueda obtener una cuenta sin la aprobación previa de un administrador.

Aunque pueda parecer inverosímil que un atacante pueda engañar a un administrador para que apruebe dicha solicitud, es factible. Un usuario remoto puede aprovechar el ataque en sistemas en los que las credenciales han sido crackeadas, robadas, filtradas u obtenidas legalmente. Un usuario puede obtener acceso a nivel de shell al host subyacente que ejecuta el servicio GitLab si el ataque tiene éxito, permitiendo un movimiento más permisivo dentro de los recursos de la víctima.

Identificación de instancias de GitLab

Utilizando los mismos métodos para identificar las versiones de GitLab para CVE-2021-22205, determinamos que ciertos nombres de archivo encontrados en el cuerpo de la respuesta HTTP podrían estar asociados con versiones específicas de GitLab Server. En resumen, cada vez que se etiqueta una nueva compilación, junto con muchos otros eventos, el sistema de integración continua (CI) de GitLab pone en marcha un trabajo que compila activos estáticos. Este trabajo da lugar a que algunos archivos tengan una extensión de archivo única que puede asignar vagamente el software en ejecución a la versión original.

Por ejemplo, el archivo "public/assets/application.css" parece tener un nombre de archivo generado de forma única para cada versión menor del software, que incluye una cadena codificada ASCII-HEX de 64 bytes añadida al final del nombre del archivo.

En nuestro análisis de esta vulnerabilidad específica, hemos encontrado los siguientes nombres de archivo en el cuerpo de la respuesta HTTP que pueden asignarse a una versión mayor y menor concreta de GitLab Server:

Hay algunos solapamientos en lo que podemos identificar y en lo que es y no es vulnerable; por ejemplo, el archivo asociado a v14 .10. 1 (una versión vulnerable de GitLab) y v.14.10.5 (la versión corregida) tienen el mismo nombre de archivo. Este solapamiento también se da en el caso de las versiones v15.0 .2 y v15.0.3, que tienen el mismo nombre de archivo que la versión corregida v15.0.4. Por último, la versión 15.1.0 tiene el mismo nombre de archivo que la versión fija(v15.1.1).

En el momento de escribir esto (24 de julio de 2022), Censys ha observado 17.828 hosts con una versión asociada que pueden ser vulnerables a este ataque (excluyendo los hosts v14.10 debido al solapamiento de versiones). De esos hosts, sólo 6.759 tienen habilitada la creación de nuevas cuentas. Desafortunadamente, Censys no puede validar si estos hosts requieren la aprobación del administrador para la creación de nuevas cuentas. Sin embargo, dado que esta configuración es la predeterminada, existe una alta probabilidad de que se requiera aprobación.

Geográficamente, la mayoría de los hosts que ejecutan una versión coincidente de GitLab con la creación de cuentas habilitada se encuentran en China, con 3.646 hosts. Por detrás se sitúa Estados Unidos, con 452 hosts, seguido de cerca por Corea del Sur, con solo 447 hosts.

Para ayudar a la comunidad en general a monitorizar estas vulnerabilidades, Censys ha creado un panel interactivo público específico de GitLab que rastrea tanto CVE-2022-2185 como CVE-2021-22205, actualizado cada 24 horas. Con él, los usuarios pueden filtrar varios campos relacionados con GitLab (incluida la posibilidad de mostrar estadísticas sobre servidores GitLab con creación de cuenta abierta). Censys añadirá nuevas funciones y estadísticas en los próximos días.

Detalles de la vulnerabilidad

Para más detalles sobre la vulnerabilidad real, un investigador de Star Labs ha escrito un análisis muy extenso de este fallo en particular que hace referencia a parte del trabajo original realizado por un cazarrecompensas llamado Vakzz en Hackerone.

¿Qué hago al respecto?

• Actualiza a GitLab v14.10.5, v15.0.4 o v15.1.1.
• Censys Los clientes de ASM tienen ahora acceso a un nuevo riesgo que identifica los servicios de GitLab potencialmente vulnerables.
• Como mínimo, un administrador debería desactivar la función de creación de nuevas cuentas en la interfaz de administración -> Configuración -> General -> "Restricciones de registro" y desmarcar la opción "Registro activado".