k3ystr0k3r/cve-2021-22205CVE-2021-22205 - GitLab Ejecución Remota de Código no Autenticada
CVE-2021-22205 es una vulnerabilidad crítica de Ejecución Remota de Código (RCE) que afecta a GitLab Community Edition (CE) y Enterprise Edition (EE). La vulnerabilidad se origina en una validación incorrecta de los archivos de imagen cargados que son procesados por la utilidad de terceros ExifTool. Un atacante puede elaborar un archivo malicioso que desencadena la ejecución arbitraria de comandos en el servidor GitLab. La vulnerabilidad recibió una puntuación CVSS de 10.0 (Crítica) y se ha observado que está siendo explotada activamente en la práctica.
La vulnerabilidad afecta a las versiones de GitLab CE/EE a partir de 11.9 hasta las siguientes versiones:
Las organizaciones que ejecutaban versiones vulnerables de GitLab corrían el riesgo de comprometer completamente el servidor mediante un simple ataque de carga de archivos.
GitLab usa ExifTool para extraer y sanear metadatos de los archivos de imagen cargados. El propio ExifTool contenía una vulnerabilidad relacionada con el procesamiento de archivos DjVu especialmente diseñados (rastreada como CVE-2021-22204). GitLab confiaba incorrectamente en las extensiones de archivo y pasaba los archivos cargados a ExifTool sin una validación suficiente.
Un atacante podría disfrazar una carga útil maliciosa de DjVu como un archivo de imagen. Cuando GitLab procesaba el archivo, ExifTool interpretaba los metadatos maliciosos y ejecutaba comandos controlados por el atacante en el servidor. El ataque finalmente se reconoció como explotable sin autenticación, lo que aumentó significativamente su gravedad.
Una explotación exitosa puede permitir a un atacante:
Debido a que muchas organizaciones exponen instancias de GitLab directamente a Internet, esta vulnerabilidad representaba un grave riesgo de seguridad para la cadena de suministro y la infraestructura.
Tras la divulgación pública, investigadores de seguridad y actores de amenazas desarrollaron rápidamente exploits funcionales. Múltiples informes documentaron escaneos generalizados e intentos de explotación contra instancias de GitLab accesibles públicamente. La vulnerabilidad fue añadida posteriormente al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA.
Los administradores deben actualizar de inmediato a una de las versiones parcheadas:
Recomendaciones adicionales incluyen:
GitLab instó oficialmente a los clientes autogestionados a actualizar lo antes posible después de que se observara actividad de explotación.
Este repositorio está destinado únicamente a fines educativos, investigación de seguridad y entornos de prueba autorizados. Cualquier código de prueba de concepto (PoC) proporcionado está diseñado para ayudar a los profesionales de seguridad a comprender la vulnerabilidad y verificar los esfuerzos de remediación. Las pruebas no autorizadas contra sistemas que no posee o para los que no tiene permiso explícito para evaluar pueden violar las leyes y regulaciones aplicables.
