Cảnh báo: Lỗ hổng RCE trên GitLab cho phép thực thi lệnh từ xa thông qua tệp tin độc hại

Một nhóm nghiên cứu bảo mật tại depthfirst vừa công bố mã khai thác (PoC) cho một lỗ hổng thực thi mã từ xa (RCE) trên GitLab. Đáng chú ý, lỗ hổng này đã được GitLab vá từ ngày 10/6, tuy nhiên tại thời điểm đó, nhà phát triển không liệt kê nó trong danh mục các bản vá bảo mật, khiến nhiều quản trị viên hệ thống bỏ lỡ việc cập nhật.

Chi tiết về lỗ hổng

Lỗ hổng này cho phép bất kỳ người dùng nào đã xác thực và có quyền đẩy (push) code vào dự án có thể thực thi lệnh dưới quyền người dùng git trên các máy chủ GitLab tự quản lý (self-managed) chưa được cập nhật. Kẻ tấn công có thể khai thác bằng cách gửi một tệp Jupyter notebook được tinh chỉnh, từ đó rò rỉ con trỏ heap để xác định vị trí các thư viện trong bộ nhớ và kích hoạt payload.

Điểm mấu chốt nằm ở hai lỗi hỏng bộ nhớ trong Oj – một thư viện phân tích JSON cho Ruby. Khi GitLab xử lý các tệp .ipynb thông qua gem ipynbdiff, các byte do kẻ tấn công kiểm soát sẽ tiếp cận bộ nhớ C của thư viện Oj, dẫn đến việc ghi đè bộ nhớ và cho phép kẻ tấn công điều hướng luồng thực thi của ứng dụng.

Tầm ảnh hưởng và Khuyến nghị

Lỗ hổng ảnh hưởng đến nhiều phiên bản GitLab CE/EE. Các phiên bản cần cập nhật ngay lập tức bao gồm:

• GitLab 15.2.0 đến 18.10.7 (cần lên 18.10.8)
• GitLab 18.11.0 đến 18.11.4 (cần lên 18.11.5)
• GitLab 19.0.0 đến 19.0.1 (cần lên 19.0.2)

Các chuyên gia nhấn mạnh rằng quản trị viên cần kiểm tra trực tiếp phiên bản GitLab bên trong image Webservice đang chạy Puma thay vì chỉ kiểm tra phiên bản của Helm chart hoặc Operator. Việc khai thác thành công có thể giúp kẻ tấn công truy cập vào mã nguồn, các bí mật (secrets) của Rails, thông tin xác thực dịch vụ và dữ liệu CI/CD.

Hiện tại, chưa có báo cáo về việc lỗ hổng này bị khai thác trong thực tế (in-the-wild), nhưng việc công bố PoC công khai làm tăng nguy cơ tấn công đối với các hệ thống chưa được vá. Người dùng được khuyến cáo cập nhật lên các phiên bản mới nhất ngay lập tức để đảm bảo an toàn.

Nguồn tham khảo: The Hacker News