Giriş
Gogs, popüler bir açık kaynak kodlu kendi kendine barındırılan Git servisi, ciddi bir güvenlik açığı ile karşı karşıya. Bu güvenlik açığı, kimlik doğrulaması yapılmış bir kullanıcının belirli koşullar altında rastgele kod çalıştırmasına izin vermektedir.
Saldırı Nasıl Çalışıyor?
Güvenlik açığı, Rapid7 tarafından yapılan değerlendirmeye göre, CVSS puanlama sistemi üzerinden 9.4 olarak derecelendirilmiştir ve bir CVE tanımlayıcısı bulunmamaktadır. Araştırmacı Jonah Burgess’e göre, “Açık, herhangi bir kimlik doğrulaması yapılmış kullanıcının, kötü niyetli bir dal adı ile bir çekme isteği oluşturarak sunucuda uzaktan kod çalıştırmasına (RCE) izin veriyor”.
Bu saldırı, çekme işlemi sırasında --exec bayrağını git rebase ifadesine enjekte ederek gerçekleştirilir. git rebase, bir özellik dalındaki bir dizi commit’i başka bir temel dal üzerinde tekrar oynatmak için kullanılan bir Git eylemidir.
Güvenlik açığı, yönetici ayrıcalıkları gerektirmeden ve diğer kullanıcılarla etkileşim olmadan gerçekleştirilebilmektedir. Saldırı için sadece, varsayılan yapılandırılmış bir örnekte kullanıcı ve depo oluşturmak yeterlidir.
Etkilenen Sistemler
Güvenlik açığı, Windows , Linux ve macOS gibi tüm desteklenen platformları etkilemektedir. Gogs’un, internet üzerinden erişilebilen yaklaşık 1,141 örneği bulunmaktadır; ancak gerçekte bu sayının daha yüksek olması beklenmektedir, zira çoğu dağıtım VPN’ler veya iç ağlar arkasında yer almaktadır.
Çözüm ve Korunma
Henüz bir yamanın uygulanmadığı bu güvenlik açığına karşı aşağıdaki önerilere dikkat edilmesi gerekmektedir:
- Kullanıcı kaydını kısıtlayın: app.ini dosyasında DISABLE_REGISTRATION = true ayarını yaparak güvensiz kullanıcıların hesap oluşturmasını engelleyin.
- Depo yaratımını kısıtlayın: app.ini dosyasında MAX_CREATION_LIMIT = 0 ayarı ile kullanıcıların kendi depolarını yaratmalarını engelleyin.
- Rebase birleştirme ayarlarını denetleyin.
Rapid7 ayrıca Linux ve Windows hedefleri için tam exploit zincirini otomatikleştiren bir Metasploit modülü geliştirmiştir. Bu modül, iki mod desteklemektedir: birincisi, saldırganın hesabı altında geçici bir depo oluşturulup exploit çalıştırılarak deponun silinmesidir. İkincisi ise, saldırganın zaten yazma ve birleştirme erişimine sahip olduğu bir depoyu hedef almaktadır.
Aksiyon
Okuyucuların, yukarıda belirtilen güvenlik önlemlerini derhal uygulayarak sistemlerini koruma altına almaları önerilmektedir. Ayrıca, mümkün olan en kısa sürede güncellemelerinizi kontrol edin ve güvenlik yamaları çıktığında uygulamayı unutmayın.
