GitLab Server-Side Request Forgery (SSRF) Vulnerability — GitLab contains a server-side request forgery (SSRF) vulnerability when requests to the internal network for webhooks are enabled.
GitLab contains a critical server-side request forgery (SSRF) vulnerability with a CVSS score of 9.0 when webhook requests to the internal network are enabled. This vulnerability allows attackers to abuse the webhook functionality to make unauthorized requests to internal network resources, potentially exposing sensitive services and data. Active exploits exist in the wild, and organizations using GitLab must take immediate action to mitigate this critical risk.
تمثل ثغرة CVE-2021-22175 خطراً أمنياً حرجاً في منصة GitLab، حيث تتيح للمهاجمين استغلال وظيفة الويب هوك لتنفيذ هجمات تزوير الطلبات من جانب الخادم. عند تمكين خاصية إرسال طلبات الويب هوك إلى الشبكة الداخلية، يمكن للمهاجم صياغة طلبات خبيثة تستهدف الخدمات الداخلية والموارد الحساسة التي لا يمكن الوصول إليها عادة من الإنترنت العام. يمكن استغلال هذه الثغرة للوصول إلى قواعد البيانات الداخلية، وخدمات الإدارة، والأنظمة السحابية الوصفية، وغيرها من الموارد الحساسة داخل البنية التحتية للمؤسسة. تكمن خطورة هذه الثغرة في قدرتها على تجاوز ضوابط الأمان الشبكية وكشف معلومات حساسة أو تنفيذ عمليات غير مصرح بها على الأنظمة الداخلية. وجود استغلالات نشطة لهذه الثغرة يزيد من مستوى الخطر ويتطلب استجابة عاجلة من المؤسسات المتأثرة، خاصة في القطاعات الحيوية والمالية التي تعتمد على GitLab لإدارة الشيفرات المصدرية والتطوير البرمجي.
يحتوي GitLab على ثغرة حرجة في تزوير الطلبات من جانب الخادم بدرجة خطورة 9.0 على مقياس CVSS عند تمكين طلبات الويب هوك إلى الشبكة الداخلية. تسمح هذه الثغرة للمهاجمين باستغلال وظيفة الويب هوك لإجراء طلبات غير مصرح بها إلى موارد الشبكة الداخلية، مما قد يكشف الخدمات والبيانات الحساسة. توجد استغلالات نشطة لهذه الثغرة، ويجب على المؤسسات التي تستخدم GitLab اتخاذ إجراءات فورية للحد من هذا الخطر الحرج.
1. Immediately disable webhook functionality for internal network requests in GitLab configuration settings until patches can be applied.
2. Upgrade GitLab to the latest patched version that addresses CVE-2021-22175 as soon as vendor releases become available.
3. Implement network segmentation to isolate GitLab servers from sensitive internal resources and critical systems.
4. Configure firewall rules and access control lists (ACLs) to restrict outbound connections from GitLab servers to only necessary external services.
5. Deploy a web application firewall (WAF) with rules to detect and block SSRF attack patterns targeting webhook endpoints.
6. Enable comprehensive logging and monitoring for all webhook activities, including destination URLs and response codes.
7. Implement allowlisting for webhook destinations, permitting only approved external URLs and blocking all internal IP ranges.
8. Conduct a thorough security audit of all existing webhooks to identify and remove any suspicious or unauthorized configurations.
9. Review and restrict user permissions for webhook creation and modification to only trusted administrators.
10. Implement intrusion detection systems (IDS) to monitor for unusual internal network scanning or access patterns originating from GitLab servers.
1. تعطيل وظيفة الويب هوك فوراً لطلبات الشبكة الداخلية في إعدادات GitLab حتى يتم تطبيق التحديثات الأمنية.
2. ترقية GitLab إلى أحدث إصدار محدث يعالج ثغرة CVE-2021-22175 فور توفر إصدارات المورّد.
3. تنفيذ تجزئة الشبكة لعزل خوادم GitLab عن الموارد الداخلية الحساسة والأنظمة الحرجة.
4. تكوين قواعد جدار الحماية وقوائم التحكم في الوصول لتقييد الاتصالات الصادرة من خوادم GitLab إلى الخدمات الخارجية الضرورية فقط.
5. نشر جدار حماية تطبيقات الويب مع قواعد للكشف عن أنماط هجمات SSRF وحظرها المستهدفة لنقاط نهاية الويب هوك.
6. تفعيل التسجيل والمراقبة الشاملة لجميع أنشطة الويب هوك، بما في ذلك عناوين URL الوجهة ورموز الاستجابة.
7. تنفيذ قائمة بيضاء لوجهات الويب هوك، والسماح فقط بعناوين URL الخارجية المعتمدة وحظر جميع نطاقات IP الداخلية.
8. إجراء تدقيق أمني شامل لجميع الويب هوك الموجودة لتحديد وإزالة أي تكوينات مشبوهة أو غير مصرح بها.
9. مراجعة وتقييد صلاحيات المستخدمين لإنشاء وتعديل الويب هوك للمسؤولين الموثوقين فقط.
10. تنفيذ أنظمة كشف التسلل لمراقبة أنماط المسح أو الوصول غير العادية للشبكة الداخلية الناشئة من خوادم GitLab.