Server-Side Request Forgery (SSRF) in GitLab

Een succesvolle exploitatie van deze SSRF-kwetsbaarheid kan aanzienlijke gevolgen hebben. Een aanvaller kan interne services en databases benaderen die normaal gesproken niet toegankelijk zijn vanaf het internet. Dit kan leiden tot data-exfiltratie, configuratie-wijzigingen, of zelfs de uitvoering van code op interne systemen. De mogelijkheid om interne resources te benaderen, vergroot de aanvalsoppervlakte aanzienlijk en maakt laterale beweging binnen de GitLab-omgeving mogelijk. De impact is vergelijkbaar met scenario's waarbij een aanvaller toegang krijgt tot interne API's of administratieve interfaces.

Organizations utilizing GitLab Enterprise Edition (EE) with the Maven Dependency Proxy feature enabled are at risk. This includes development teams relying on custom Maven repositories hosted internally and those using GitLab as a central artifact repository. Legacy GitLab EE installations running versions prior to 17.3.2 are particularly vulnerable.

• gitlab: Examine GitLab logs for outbound requests originating from the Maven Dependency Proxy endpoint that target internal resources.

journalctl -u gitlab-sshd | grep 'Maven Dependency Proxy'

• gitlab: Check the configuration of the Maven Dependency Proxy to ensure it is not overly permissive.

/opt/gitlab/embedded/service/gitlab-rails/config/gitlab.yml | grep 'maven_dependency_proxy'

• generic web: Monitor access logs for requests to the Maven Dependency Proxy endpoint with unusual or unexpected parameters.

grep 'maven_dependency_proxy' /var/log/nginx/access.log

1. 2024-09-12Disclosure

   disclosure

1. Gereserveerd2024-09-09
2. Gepubliceerd2024-09-12
3. Gewijzigd2024-09-13
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden van GitLab EE naar versie 17.3.2 of hoger. Indien een directe upgrade niet mogelijk is, kan het beperken van de Maven Dependency Proxy URL tot vertrouwde bronnen een tijdelijke workaround bieden. Controleer de configuratie van de Maven Dependency Proxy URL en zorg ervoor dat deze alleen toegang heeft tot de noodzakelijke interne resources. Daarnaast kan het implementeren van een Web Application Firewall (WAF) met regels om SSRF-aanvallen te detecteren en blokkeren helpen om de impact te verminderen. Na de upgrade, verifieer de correcte werking van de Maven Dependency Proxy URL en controleer de logs op verdachte activiteit.