CVE-2023-5612 – اختراق SSRF عبر رابط ويب هوك في GitLab (نموذج إثبات و تحليل)

📌 نظرة عامة على CVE

• CVE-ID: CVE-2023-5612
• Severity: عالي (درجة CVSS الأساسية: 8.1)
• Type: تزوير طلبات جانب الخادم (SSRF)
• Component: ويب هوكس GitLab CE/EE
• Affected Versions: GitLab CE/EE < 16.2.7, 16.3 < 16.3.4, 16.4 < 16.4.1

🧠 الوصف

تسمح ثغرة SSRF في GitLab CE/EE للمهاجمين الذين يمتلكون صلاحيات Maintainer صالحة للمشروع بإرسال طلبات مُعدّة مسبقاً إلى خدمات داخلية عشوائية عبر روابط ويب هوك خبيثة. يؤدي الاستغلال إلى مسح الشبكة الداخلية، تسرب البيانات الوصفية، أو الانتقال إلى أهداف أخرى.

---

✅ شروط الاستغلال

• لدى المهاجم وصول بصلاحية maintainer إلى المشروع
• لا يفرض GitLab تصريفاً صارماً أو تحققاً من صحة روابط الويب هوك

---

⚙️ خطوات نموذج الإثبات (يدوي)

curl -s --header "PRIVATE-TOKEN: <TOKEN>" \
     --data-urlencode "url=http://127.0.0.1:8888" \
     http://<gitlab-host>:8080/api/v4/projects/<project_id>/hooks

🧱 البيئة والإعداد

تم تنفيذ الاستغلال في بيئة معملية معزولة:
- Kali Linux داخل آلة افتراضية تم نشرها خصيصاً للاختبار
- نسخة من GitLab CE المتأثر مرفوعة عبر Docker (المنفذ 8080)
- داخل GitLab:
- تم إنشاء مشروع تجريبي
- تم توليد Personal Access Token (glpat-...) بصلاحيات Maintainer
- لهدف SSRF الداخلي، تم رفع خدمة HTTP بسيطة على 127.0.0.1:8888

🧠 المنهجية

أُجري البحث على عدة مراحل:
- تأكيد الثغرة يدوياً عبر curl (انظر PoC)
- إنشاء نصوص NSE مخصصة:
gitlab-ssrf.nse: فحص دقيق لـ SSRF
gitlab-ssrf-brute.nse: تخمين تلقائي للعناوين الداخلية
- الاختبار باستخدام nmap -d و --script-trace لتحليل سلوك الـ API وتسجيل النتائج
- استلام رد 401 Unauthorized من الخدمة الداخلية، مما يشير إلى نجاح SSRF
- سيعيد الطلب الناجح `201 Created` أو خطأ بصيغة `401 Unauthorized`، مما يدل على الوصول عبر SSRF.

---

🛠 نص NSE (تشغيل يدوي)

nmap -p 8080 \
  --script ./gitlab-ssrf.nse \
  --script-args gitlab.token="<TOKEN>" \
  <target-ip>

🧪 نص NSE (تخمين عناوين URL الداخلية)

nmap -p 8080 \
  --script ./gitlab-ssrf-brute.nse \
  --script-args gitlab.token="<TOKEN>" \
  <target-ip>

---

📈 الخلاصة

أثناء العمل على ثغرة **CVE-2023-5612**، تم إعادة سيناريو هجوم SSRF ناجح للوصول إلى العناوين الداخلية عبر واجهة برمجة تطبيقات GitLab CE. يوضح هذا مدى أهمية تقييد قدرات الويب هوك وتنفيذ التحقق من صحة عناوين URL على جانب الخادم.

🎯 تم تحقيق الهدف:

• تم تأكيد SSRF
• تم تنفيذ أدوات NSE
• تم توثيق المشروع وإتاحته للمجتمع

---

📂 هيكل المستودع

.
├── gitlab-ssrf.nse             # نص NSE للتحقق اليدوي من SSRF
├── gitlab-ssrf-brute.nse       # نص NSE للتخمين لمسح المضيفات/الموانئ الداخلية
├── screenshots/                # لقطات شاشة لتنفيذ PoC وتأكيد الثغرة
└── README.md                   # هذا الملف

---

🖼 لقطات الشاشة

• ✅ نجاح SSRF مع إرجاع 401 Unauthorized
• 📜 سجلات nmap مع تشغيل النص البرمجي
• 📦 إضافة ويب هوك عبر الواجهة البرمجية (API)

---

⚠️ التخفيف

• ترقية GitLab إلى الإصدار >= 16.2.7 / 16.3.4 / 16.4.1
• تقييد حركة HTTP الصادرة عبر جدار الحماية الخارجي (egress firewall)
• استخدام قوائم السماح الداخلية (allow-lists) للويب هوك

---

🧠 المؤلف والتواصل

Pavel Topskiy
GitHub • محلل أمني، محلل فريق الهجوم الأحمر (Red Team)

---

📅 الجدول الزمني

• يونيو 2025: تحليل PoC والثغرة
• 5 يونيو 2025: كتابة نص NSE مخصص والاختبارات

---

🔐 إخلاء المسؤولية

تم إجراء جميع الاختبارات في بيئات معملية معزولة على إصدارات متعمدة التعرض للثغرات. لا تستخدم هذا ضد الأنظمة غير المصرح بها. احترم مبادئ الاختراق الأخلاقي.