GitBucket SSRF漏洞(CVE-918)分析及PoC

漏洞概述 漏洞名称: SSRF via Unchecked Git Clone URL in Repository Creation #4044 漏洞类型: 服务端请求伪造（SSRF） 影响版本: 4.38.4 部署模式: Docker 4.40.1 问题描述: 包: gitbucket CVSS 向量: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N CVE: CVE-918 – Server-Side Request Forgery (SSRF) GitHub 建议: 摘要: GitBucket 允许经过身份验证的用户通过克隆现有 Git 仓库来创建新仓库，该仓库的 URL 由用户提供的 URL 直接传递给 JGit 的 方法，没有进行任何验证或阻止检查。这使得任何具有仓库创建权限的用户（默认情况下授予所有用户）可以强制 GitBucket 向任意主机和端口发送出站 HTTP/HTTPS 请求，包括内部网络基础设施和云元数据服务。 详细信息: 漏洞存在于 第 96 行。 当用户选择“复制现有 Git 仓库”选项（ ）并提供 时，该 URL 会直接传递给 JGit 的克隆操作。JGit 会立即向 发送出站 HTTP GET 请求，使用带有 头部的 协议，在身份验证或仓库内容检查之前。 没有 URL 验证、没有方案限制、没有主机名阻止列表，也没有对 应用任何白名单。Webhook 设置“阻止向私有地址发送”（ ）仅保护出站 webhook 调用，不适用于此代码路径。 仓库创建表单可通过 使用表单字段 和 访问。该端点对所有经过身份验证的用户开放，当默认的“所有用户”设置处于活动状态时（在新鲜 GitBucket 安装中默认如此）。 PoC: 前提条件: 具有仓库创建权限的 GitBucket 账户（默认情况下所有注册用户都有）。 步骤: 1. 在攻击者控制的服务器上启动监听器。 2. 向新的仓库端点发送 POST 请求。 3. GitBucket 服务器将在几秒内发送请求。 代码块: Live reproduction (Docker environment): 影响: 任何经过身份验证的 GitBucket 用户都可以强制服务器向任意 URL 发送出站 HTTP/HTTPS 请求，没有任何限制。在云托管实例上，这暴露了云元数据端点（AWS IMDSv1、GCP 元数据、Azure IMDS），可能导致凭证窃取和整个云账户的妥协。在任何部署上，它允许内部网络侦察和与内部服务的交互。GitBucket 的默认配置允许所有注册用户创建仓库，这使得每个账户上的实例都可被利用。 影响范围 受影响版本: 4.38.4 部署模式: Docker 4.40.1 影响用户: 所有具有仓库创建权限的用户（默认情况下所有注册用户） 修复方案 建议: 添加一个选项来禁用该功能并限制目标 URL。 已采取措施: - 添加一个选项来禁用通过克隆创建仓库的功能。 - 添加私有地址阻止和 IP 白名单以克隆仓库。 相关 Issue: #4054: 添加一个选项来禁用通过克隆创建仓库的功能。 #4056: 私有地址阻止和 IP 白名单以克隆仓库。 状态: 已关闭，标记为已完成。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

GitBucket SSRF漏洞(CVE-918)分析及PoC

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

GitBucket SSRF漏洞(CVE-918)分析及PoC

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！