CVE-2021-22205
GitLab Community and Enterprise Editions Remote Code Execution Vulnerability
Beschreibung
CVE-2021-22205 ist eine KRITISCHE Remote-Code-Execution-Schwachstelle in GitLab Community und Enterprise Editions mit dem maximalen CVSS-3.1-Score von 10.0. Die Schwachstelle existiert in GitLab Workhorse, welches hochgeladene Bilddateien ohne angemessene Validierung durch ExifTool verarbeitet. Ein Angreifer kann eine speziell konstruierte Bilddatei mit bösartigen Metadaten hochladen, die eine Befehlsinjektion in ExifTool auslöst und unauthentifizierte Remote-Codeausführung ermöglicht. Alle GitLab-Versionen ab 11.9 sind betroffen. Diese CVE ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 2021-11-17. Der EPSS-Score von 0.94467 (99,995. Perzentile) bestätigt eine weitverbreitete Ausnutzung, und die Schwachstelle wurde mit Ransomware-Kampagnen in Verbindung gebracht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| gitlab | gitlab | >= 11.9.0, < 13.8.8; >= 13.9.0, < 13.9.6; >= 13.10.0, < 13.10.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/164768/GitLab-Unauthenticated-Remote-ExifTool-Command-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/164994/GitLab-13.10.2-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22205.json(Vendor Advisory)
- https://gitlab.com/gitlab-org/gitlab/-/issues/327121(Broken Link)
- https://hackerone.com/reports/1154542(Permissions Required, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22205(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Codegenerierung (Code-Injektion)
CVE-2021-22205 wird unter CWE-94 klassifiziert — Unsachgemäße Kontrolle der Codegenerierung. Diese Schwachstellenklasse tritt auf, wenn Software Codesegmente unter Verwendung extern beeinflusster Eingaben konstruiert, aber spezielle Elemente nicht neutralisiert, die die Syntax oder das Verhalten des generierten Codes modifizieren könnten.
Im Kontext von GitLab zielte die Schwachstelle spezifisch auf ExifTools Verarbeitung von DjVu-Datei-Metadaten ab. GitLab Workhorse verarbeitete hochgeladene Bilder durch ExifTool zum Entfernen von EXIF-Metadaten, aber ExifTool enthielt eine Schwachstelle, die es speziell konstruierten DjVu-Dateien ermöglichte, beliebigen Perl-Code während der Metadaten-Analyse einzuschleusen und auszuführen. Da GitLab in bestimmten Konfigurationen Bild-Uploads ohne Authentifizierung akzeptierte, entstand ein unauthentifizierter Remote-Code-Execution-Pfad mit maximaler Schwere.
Mehr erfahren: CWE-94 — Unsachgemäße Kontrolle der Codegenerierung
Auswirkungsanalyse
Vertraulichkeit (HIGH): Vollständiger Zugriff auf alle im GitLab gespeicherten Daten, einschließlich Quellcode-Repositories, CI/CD-Secrets, API-Tokens, SSH-Schlüssel, Benutzer-Zugangsdaten und sämtliches auf der Plattform gehostetes geistiges Eigentum.
Integrität (HIGH): Angreifer können Quellcode-Repositories modifizieren, CI/CD-Pipelines manipulieren, um Schadcode in Build-Artefakte einzuschleusen, Benutzerberechtigungen ändern und Backdoors in der gesamten Entwicklungsinfrastruktur platzieren.
Verfügbarkeit (HIGH): Vollständiger Denial-of-Service ist möglich, einschließlich Abschaltung der GitLab-Instanz, Verschlüsselung von Repositories für Ransomware, Korruption von Datenbanken oder Nutzung des Servers für weitere Angriffe.
Scope Changed: Der Changed-Scope (C) bedeutet, dass die Ausnutzung der GitLab-Komponente Ressourcen jenseits der verwundbaren Komponente selbst beeinflussen kann. Ein Angreifer, der den GitLab-Server kompromittiert, kann zu verbundenen Systemen, CI/CD-Runnern, Deployment-Zielen und der breiteren Entwicklungsinfrastruktur vordringen.
Der EPSS-Score von 0.94467 (99,995. Perzentile) platziert diese unter den weltweit am aktivsten ausgenutzten Schwachstellen, mit bestätigter Botnet-Aktivität gegen exponierte GitLab-Instanzen.
Exploit-Reifegrad
Exploit-Status: CVE-2021-22205 wird aktiv in der Praxis ausgenutzt und ist im CISA KEV-Katalog gelistet. Öffentliche Exploits sind weit verbreitet, einschließlich Metasploit-Module und eigenständiger Proof-of-Concept-Skripte. Die Ausnutzung erfordert lediglich die Fähigkeit, eine Datei zur GitLab-Instanz hochzuladen, was in vielen Konfigurationen keine Authentifizierung erfordert.
Ransomware-Bezug: Diese Schwachstelle wurde bestätigt mit Ransomware-Kampagnen in Verbindung gebracht. Bedrohungsakteure haben internet-exponierte GitLab-Instanzen gezielt angegriffen, um Ransomware einzusetzen und Organisationen durch Drohung, proprietären Quellcode zu zerstören oder zu veröffentlichen, zu erpressen.
Angriffsfläche: Internet-exponierte GitLab-Instanzen sind direkt gefährdet. Sicherheitsforscher identifizierten tausende verwundbare Instanzen durch Internet-Scanning. Botnets wurden bei der Massenausnutzung dieser Schwachstelle beobachtet, um Cryptominer, Web-Shells und andere Malware zu installieren.
KEV-Frist: Die CISA-Behebungsfrist war der 2021-11-17, mit nur einem 14-Tage-Fenster, was die Dringlichkeit dieser Bedrohung widerspiegelt.
Behebung
- GitLab umgehend aktualisieren. Aktualisieren Sie auf GitLab 13.8.8, 13.9.6, 13.10.3 oder eine spätere Version. Konsultieren Sie den GitLab-Sicherheitshinweis und die CVE-2021-22205-Veröffentlichung für detaillierte Anweisungen.
- Alle GitLab-Installationen identifizieren. Lokalisieren Sie jede GitLab-Instanz, einschließlich selbstverwalteter Installationen auf Entwicklungsservern, Staging-Umgebungen und Cloud-Deployments. Betroffene Versionen reichen von 11.9.0 bis 13.10.2.
- Netzwerkzugang zu GitLab-Instanzen einschränken. Stellen Sie sicher, dass GitLab nicht unnötig dem Internet ausgesetzt ist. Platzieren Sie Instanzen hinter VPN- oder Firewall-Kontrollen. Deaktivieren Sie unauthentifizierte Datei-Uploads wenn möglich.
- Auf Kompromittierungsindikatoren prüfen. Überprüfen Sie GitLab-Logs auf verdächtige Datei-Upload-Aktivitäten, unerwartete Prozessausführung (insbesondere ExifTool-bezogen) und unbefugten Repository-Zugriff.
- ExifTool unabhängig aktualisieren. Stellen Sie sicher, dass die von GitLab verwendete ExifTool-Installation auf Version 12.24 oder neuer aktualisiert ist.
- Zugangsdaten und Secrets rotieren. Bei Verdacht auf Kompromittierung rotieren Sie alle in GitLab gespeicherten Zugangsdaten einschließlich CI/CD-Variablen, Deploy-Tokens, API-Schlüssel und Benutzerpasswörter.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: GitLab Workhorse, die Komponente für Datei-Uploads, leitet Bilddateien zur Metadaten-Bereinigung an ExifTool weiter. ExifTool-Versionen vor 12.24 enthielten eine Schwachstelle im DjVu-Dateiformat-Parser (CVE-2021-22204), die beliebige Perl-Codeausführung durch speziell konstruierte Metadaten-Felder ermöglichte. Durch Hochladen einer bösartigen DjVu-Datei, die als legitimes Bild getarnt ist, wird Codeausführung im Kontext des GitLab-Servers ausgelöst.
Angriffsablauf: Der Angreifer erstellt eine DjVu-Datei mit bösartigem Perl-Code, der in das Metadaten-Annotationsfeld eingebettet ist. Diese Datei wird zu einem GitLab-Endpunkt hochgeladen, der Bilder verarbeitet (wie Issue-Beschreibungen, Kommentare oder Projekt-Avatare). GitLab Workhorse ruft ExifTool auf, um die Datei zu verarbeiten, welches die DjVu-Metadaten parst und den eingebetteten Perl-Code mit den Berechtigungen des GitLab-Service-Accounts ausführt.
Betroffene Produkte: GitLab CE/EE (>= 11.9.0, < 13.8.8), GitLab CE/EE (>= 13.9.0, < 13.9.6), GitLab CE/EE (>= 13.10.0, < 13.10.3)
CVSS-3.1-Bewertung (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H): Netzwerk-Angriffsvektor, niedrige Komplexität, keine Privilegien erforderlich, keine Benutzerinteraktion. Der Changed-Scope (S:C) reflektiert, dass eine Kompromittierung von GitLab verbundene Systeme einschließlich CI/CD-Runner und Deployment-Ziele beeinflussen kann.
Häufig gestellte Fragen
Wird CVE-2021-22205 aktiv ausgenutzt?
Ja, CVE-2021-22205 wird massiv in der Praxis ausgenutzt. Sie wurde in den CISA KEV-Katalog mit einer ungewöhnlich kurzen 14-Tage-Behebungsfrist aufgenommen, was die extreme Dringlichkeit widerspiegelt. Botnets wurden beim automatischen Scanning und Ausnutzen verwundbarer GitLab-Instanzen beobachtet. Der EPSS-Score von 0.94467 (99,995. Perzentile) bestätigt sie als eine der weltweit am meisten ausgenutzten Schwachstellen.
Welche Produkte sind von CVE-2021-22205 betroffen?
Alle GitLab Community Edition und Enterprise Edition Versionen ab 11.9.0 sind betroffen. Konkret sind Versionen vor 13.8.8, 13.9.x vor 13.9.6 und 13.10.x vor 13.10.3 verwundbar. Sowohl selbstverwaltete als auch dedizierte Installationen sind betroffen. GitLab.com (SaaS) wurde direkt von GitLab gepatcht.
Wie behebe ich CVE-2021-22205?
Aktualisieren Sie GitLab auf Version 13.8.8, 13.9.6, 13.10.3 oder neuer. Aktualisieren Sie zusätzlich ExifTool auf Version 12.24 oder neuer. Beschränken Sie den Netzwerkzugang zu GitLab-Instanzen und deaktivieren Sie unauthentifizierte Uploads wo möglich. Bei verzögertem Patching führen Sie eine forensische Überprüfung durch und rotieren Sie alle gespeicherten Zugangsdaten.
Wie schwerwiegend ist CVE-2021-22205?
CVE-2021-22205 hat den maximalen CVSS-Score von 10.0 (KRITISCH) mit Changed-Scope, was bedeutet, dass die Ausnutzung Systeme jenseits von GitLab selbst beeinflussen kann. Sie ermöglicht unauthentifizierte Remote-Codeausführung und hat bestätigte Ransomware-Verbindungen. Die CISA setzte eine ihrer kürzesten Behebungsfristen überhaupt (14 Tage) für diese Schwachstelle.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.