CVE-2023-7028

GitLab は広く採用されているウェブベースのリポジトリマネージャーであり、ソフトウェア開発プロジェクトにおけるソースコード管理、統合、保守、コラボレーションのための包括的なプラットフォームを提供します
CVE-2023-7028 は、reset password フォームを通じて攻撃者がユーザーアカウントを乗っ取る (Account TakeOver) ことを可能にする脆弱性です
この脆弱性は、以下の バージョン の GitLab に存在します:
- 16.1 から 16.1.5
- 16.2 から 16.2.8
- 16.3 から 16.3.6
- 16.4 から 16.4.4
- 16.5 から 16.5.5
- 16.6 から 16.6.3
- 16.7 から 16.7.1

この脆弱性は reset password フォーム、具体的には GitLab の API エンドポイント POST /users/password に存在します。攻撃者は email address フィールドの脆弱性を悪用して形式チェックをバイパスし、自身のメールアドレスを挿入できるようにします。これにより、GitLab は reset token を攻撃者のメールアドレスに送信します
脆弱性の分析:
- GitLab が提供するコードに基づくと、以下のことがわかります:
  - Reset Password リクエストの処理部分はファイル spec/controllers/passwords_controller_spec.rb にあり、入力から複数のメールアドレスを受け付けることができますが、それがユーザーのメールアドレスであることを確認するための認証メカニズムは一切ありません
  - サーバー側は、パスワードリセットリクエストを送信するために、フォーム送信時に攻撃者からの authenticity_token（CSRF 対策用の隠しトークン）のみを要求します
  → したがって、自身のメールアドレスを挿入して被害者のメールアドレスのパスワードリセット用 reset token を受け取り、ユーザーアカウントを乗っ取ることができます

パスワードリセットリクエストをキャプチャすると、以下のようになります:
- フォームには、CSRF 対策に使用される authenticity_token が含まれており、パスワードリセット対象のユーザーのメールアドレス名は変数 user[email] に格納されます
以下のペイロード &user[email][]=victim_email&user[email][]=attacker_email を使用して攻撃者のメールアドレスを追加し、リクエストを送信します:

→ 攻撃者のメールアドレスを確認すると、パスワードリセットトークンが送信されており、パスワードを変更するためにアクセスできることがわかります