Zdjęcie: © Ilya Pavlov / Unsplash
Źródło: unsplash.com/photos/OqtafYT5kTw
Badacze z firmy Aikido ostrzegają przed prywatnymi adresami e-mail GitLaba, które są publikowane w README, instrukcjach dla współtwórców oraz stronach służących do zbierania zgłoszeń błędów. Adresy wyglądają jak wygodny kanał kontaktu z opiekunami projektu, ale w rzeczywistości zawierają długotrwały token powiązany z kontem dewelopera. Jego ujawnienie może pozwolić osobie z zewnątrz na wykonywanie określonych operacji w projekcie w imieniu właściciela konta.
Problem dotyczy wbudowanej funkcji GitLaba o nazwie Email work item to this project. Usługa automatycznie generuje adres, na który można wysłać wiadomość. GitLab przetwarza jej treść i tworzy na tej podstawie zgłoszenie lub zadanie w projekcie. Adres nie jest jednak zwykłym aliasem kontaktowym. Zawiera ciąg zaczynający się od glimt-, który pełni funkcję poświadczenia i pozostaje powiązany z projektem oraz kontem użytkownika. Badacze wskazują, że podobny token jest obecny w kolejnych adresach generowanych dla danego projektu.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Ciąg danych potwierdzający tożsamość użytkownika lub jego uprawnienie do dostępu do usługi. Może zastępować hasło albo działać jako dodatkowy element uwierzytelniania.
Zbiorcze określenie praktyk automatyzujących budowanie, testowanie i dostarczanie oprogramowania. CI oznacza ciągłą integrację zmian, a CD ich ciągłe dostarczanie lub wdrażanie.
Łańcuch dostaw oprogramowania obejmuje narzędzia, pakiety i procesy używane do tworzenia, przechowywania oraz wdrażania aplikacji.
Atakujący potrzebuje także ścieżki projektu i jego identyfikatora. W projektach publicznych te informacje są zwykle dostępne w samym serwisie. W przypadku projektu prywatnego identyfikator może być odgadnięty metodą brute force, ale ścieżka projektu musi wcześniej wyciec. Ograniczenia wynikające z uprawnień konta nie mogą zostać w ten sposób zniesione. Problem polega na tym, że GitLab przetwarza wiadomość tak, jakby pochodziła od właściciela tokenu, niezależnie od skrzynki, z której została wysłana.
Aikido znalazło w ciągu jednego popołudnia około tuzina aktywnych adresów w publicznych plikach README, poradnikach dla współtwórców i stronach pomocy. W wielu przypadkach adresy zostały umieszczone tam celowo, aby użytkownicy mogli przesyłać opiekunom zgłoszenia błędów. Badacze znaleźli je także w popularnych projektach open source, co zwiększa ryzyko dla łańcucha dostaw oprogramowania. Jeśli ktoś przejmie możliwość wykonywania operacji w takim projekcie, potencjalne skutki mogą dotknąć nie tylko jego maintainerów, lecz także osoby korzystające z publikowanego kodu.
Aikido zgłosiło problem GitLabowi przez platformę HackerOne w maju, ale zgłoszenie zostało zamknięte jako zgodne z zamierzonym działaniem. Po ponownym powiadomieniu w czerwcu GitLab zaktualizował interfejs, aby wyraźniej wspominał o tworzeniu merge requestów, usunął nieprawdziwe informacje dotyczące dostępu tokenu do danych i opisał fakt omijania ograniczeń adresów IP przez wiadomości przychodzące. Dokumentacja GitLaba ostrzega, że prywatnego adresu nie należy udostępniać. Jeżeli został ujawniony, opiekun projektu powinien usunąć go z publicznych materiałów i natychmiast zresetować powiązany token.
Brak komentarzy. Bądź pierwszy!
