نقص امنیتی در گیت‌لب؛ نشت ایمیل اختصاصی، کلید دسترسی مهاجمان به حساب کاربران

یک آسیب‌پذیری امنیتی جدی در پلتفرم گیت‌لب (GitLab) شناسایی شده است که به مهاجمان اجازه می‌دهد با دسترسی به آدرس ایمیل اختصاصی هر کاربر برای ثبت «ایو»، عملاً هویت او را جعل کنند. این آدرس‌های ایمیل که حاوی یک توکن ثابت و بدون تاریخ انقضا هستند، به مهاجم این امکان را می‌دهند که بدون نیاز به احراز هویت دو مرحله‌ای یا عبور از محدودیت‌های IP، از طرف کاربر قربانی کدهای مخرب را به مخازن پروژه ارسال کرده و حتی دستورات CI/CD را اجرا کند. نکته نگران‌کننده اینجاست که این توکن‌ها برای تمام پروژه‌های یک کاربر یکسان عمل می‌کنند و در صورت افشا، امنیت کل حساب کاربری به خطر می‌افتد.

تحقیقات تیم امنیتی Aikido نشان می‌دهد که این نقص فراتر از یک خطای ساده در ثبت گزارش‌های متنی است. مهاجمان می‌توانند با تغییر جزئی در ساختار آدرس ایمیل، به جای ثبت یک «ایو» ساده، درخواست‌های ادغام (Merge Request) ایجاد کرده و کدهای خود را مستقیماً به شاخه‌های اصلی پروژه تزریق کنند. از آنجایی که گیت‌لب در این فرآیند هیچ‌گونه بررسی هویتی روی فرستنده ایمیل انجام نمی‌دهد، هر فردی که این آدرس را در اختیار داشته باشد، می‌تواند با سطح دسترسی مالک حساب، تغییرات غیرمجاز اعمال کند. این موضوع به‌ویژه برای کاربرانی با سطح دسترسی «Maintainer» که به کلیدهای امنیتی و شاخه‌های حساس دسترسی دارند، بسیار خطرناک است.

در حال حاضر، گیت‌لب این رفتار را به عنوان یک ویژگی طراحی‌شده در نظر گرفته و معتقد است که محافظت از این توکن‌ها بر عهده کاربران است. با این حال، کاربران برای کاهش ریسک باید به‌طور دوره‌ای توکن ایمیل اختصاصی خود را از بخش تنظیمات پروفایل بازنشانی کنند و از عدم انتشار عمومی این آدرس‌ها در فایل‌های README یا راهنماهای پروژه اطمینان حاصل نمایند. اگرچه گیت‌لب در حال بررسی راهکارهایی برای محدود کردن دریافت ایمیل‌ها به آدرس‌های تاییدشده است، اما تا زمانی که تغییرات ساختاری در این سیستم اعمال نشود، کاربران باید با احتیاط بیشتری نسبت به مدیریت این دسترسی‌های ایمیلی اقدام کنند.

منبع: The Hacker News — مطلب اصلی را اینجا بخوانید