thanhlam-attt/cve-2023-7028CVE-2023-7028을 통한 GitLab 계정 탈취용 익스플로잇으로, 공격자 이메일을 주입하여 비밀번호 재설정 토큰을 받음으로써 비밀번호 재설정 우회를 시연합니다.
GitLab은 광범위하게 적용되는 웹 기반 저장소 관리자로, 소프트웨어 개발 프로젝트에서 소스 코드 관리, 통합, 유지보수 및 협업을 위한 포괄적인 플랫폼을 제공합니다.CVE-2023-7028은 공격자가 reset password 폼을 통해 사용자 계정을 탈취할 수 있는 (Account TakeOver) 취약점입니다.버전의 GitLab에 존재합니다:
reset password 폼, 특히 API 엔드포인트 POST /users/password에 있습니다. 공격자는 email address 필드의 잘못된 형식 검사를 우회하는 취약점을 악용하여 자신의 이메일을 삽입할 수 있으며, 이 경우 GitLab은 reset token을 공격자의 이메일로 전송합니다.GitLab이 제공하는 코드 조각을 기반으로 다음을 확인할 수 있습니다:
Reset Password 요청 처리 부분은 spec/controllers/passwords_controller_spec.rb 파일에 있으며, 입력에서 여러 이메일을 허용하지만 해당 이메일이 사용자의 이메일인지 확인하는 어떠한 이메일 인증 메커니즘도 없습니다.
서버 측은 폼 제출 시 비밀번호 재설정 요청을 보내기 위해 공격자로부터 authenticity_token(CSRF 방지를 위한 숨겨진 토큰)만 요구합니다.
→ 따라서 우리는 자신의 이메일을 삽입하여 피해자 이메일의 비밀번호 재설정 reset token을 받을 수 있으며, 이를 통해 사용자 계정을 탈취할 수 있습니다.
비밀번호 재설정 요청을 캡처하면 다음과 같습니다:
authenticity_token이 포함되어 있으며, 비밀번호가 재설정되는 사용자의 이메일 이름은 user[email] 변수에 있습니다.다음과 같은 페이로드 &user[email][]=victim_email&user[email][]=attacker_email로 공격자의 이메일을 추가하고 요청을 전송합니다:
→ 공격자의 이메일을 확인하면 비밀번호 재설정 토큰이 전송되었으며, 이를 통해 비밀번호 변경에 접근할 수 있음을 알 수 있습니다.
