ایتگاه تست تکین گیم

بر اساس تحلیل فارنزیک منتشر شده توسط The Hacker News و پژوهشگران امنیتی BleepingComputer، این آسیب‌پذیری از نوع پیمایش دایرکتوری (Path Traversal) در یکی از اندپوینت‌های مدیریت بارگذاری بسته‌ها و کتابخانه‌ها در مسیر /api/v4/packages/ ناشی می‌شود. نکته هراس‌آور ماجرا این است که بهره‌برداری از این باگ به هیچ‌گونه احراز هویت اولیه یا داشتن حساب کاربری نیاز ندارد. یک مهاجم ناشناس مستقر در هر نقطه از اینترنت می‌تواند با ارسال یک درخواست HTTP دستکاری‌شده حاوی توالی‌های دایرکتوری (مانند %252e%252e%252f یا %2e%2e%2f)، مکانیسم‌های فایروال برنامه را دور زده و فایل‌های دلخواه سیستمی را از روی سرورهای میزبان GitLab بخواند.

یستطیع یک مهاجم ناشناس مستقر در هر نقطه از اینترنت با ارسال درخواست، فایل‌های سیستم را بخواند. در مدل‌های اثبات مفهوم (PoC) که در شبکه‌های امنیتی تبادل شد، محققان توانستند فایل /etc/gitlab/gitlab-secrets.json را که مخزن اصلی رمزنگاری سرور، کلیدهای دیتابیس و توکن‌های رانر CI/CD است، استخراج کنند. با دسترسی به این فایل، مهاجم می‌تواند کوکی‌های نشست مدیریتی را جعل کرده و کنترل کامل و غیرقابل‌ردیابی بر کل کلاستر گیت‌لب پیدا کند.

مراکز عملیات امنیت سایبری (SOC) گزارش کرده‌اند که ظرف کمتر از ۳ ساعت پس از انتشار اولیه جزئیات، بات‌نت‌های خودکار اسکن دامنه‌های اینترنتی را برای شکار سرورهای آسیب‌پذیر گیت‌لب در پورت‌های ۸۰ و ۴۴۳ آغاز کرده‌اند. مهاجمان با ولع به دنبال سرورهای در معرض دید هستند تا فایل‌های پیکربندی محیطی (.env) را که حاوی توکن‌های دسترسی ابری AWS، گوگل کلود و آژور هستند، سرقت کنند. آژانس CISA این باگ را فوراً در فهرست KEV ثبت کرده و ضرب‌الاجل ۲۴ ساعته برای پچ آن صادر کرده است.

وبالنسبة للشركات (برای سازمان‌هایی) که امکان اعمال فوری پچ‌های رسمی گیت‌لب (نسخه‌های ۱۷.۳.۴، ۱۷.۲.۷ یا ۱۷.۱.۸) را ندارند، مهندسان امنیت توصیه می‌کنند قوانین مسدودسازی موقت را روی سرورهای Reverse Proxy مانند Nginx یا HAProxy پیاده‌سازی کنند. با استقرار فیلترهای دقیق URI برای مسدود کردن درخواست‌های ورودی که شامل الگوهای رگولار اکسپرشن (?i)(\.\./|%2e%2e) در مسیر /api/v4/packages/ هستند، تیم‌های زیرساخت می‌توانند تا زمان رسیدن به پنجره تعمیرات، اسکن‌های خودکار را خنثی کنند.