GitLab, belirli koşullarda kimlik doğrulaması olmadan sunucu üzerinde rastgele kod çalıştırılmasına izin verebilecek kritik bir güvenlik açığını kapattı. Açık, CI/CD akışında özel olarak hazırlanmış bir düzenli ifade kullanıldığında ortaya çıkıyordu.
GitLab sunucularını kullanan kurumlar bu zafiyetten etkileniyordu. Saldırgan, sisteme giriş yapmadan sunucu tarafında komut çalıştırma imkânı bulabiliyordu. Şirket, ilgili hatayı giderdiğini duyurdu; kaynak metinde zafiyet için bir CVE numarası yer almadı.
CI/CD hattındaki özel ifade tetikliyordu
İncelenen hata, GitLab’ın CI/CD süreçlerinde işlenen bir regular expression üzerinden istismar edilebiliyordu. Kötüye kullanım senaryosunda saldırgan, özellikle hazırlanmış ifadeyi sisteme işleyerek sunucu tarafında istediği kodu çalıştırma şansı elde ediyordu.
Bu tür açıklar, saldırganın önceden yetki kazanmasını gerektirmediği için kurumsal yazılım zincirlerinde ayrı bir risk oluşturuyor. GitLab’ın yaptığı yama da tam olarak bu doğrulama eksikliğini kapatmayı amaçladı.
Yama yayımlandı, ayrıntılar sınırlı kaldı
GitLab, hatayı giderdiğini açıklarken istismarın hangi ürün sürümlerini etkilediğine ya da saldırıların sahada görülüp görülmediğine ilişkin ek bilgi paylaşmadı. Kaynak metinde yalnızca, açığın belirli koşullar altında sunucu kodu çalıştırmaya izin verebildiği belirtildi.
CI/CD boru hatları, yazılım ekiplerinin derleme, test ve dağıtım süreçlerini otomatikleştirmek için kullandığı temel mekanizmalardan biri olduğu için, bu alandaki zafiyetler doğrudan üretim sistemlerine uzanabiliyor. GitLab tarafındaki düzeltme de bu nedenle kritik sınıfta değerlendiriliyor.