Utviklere som publiserer en privat e-postadresse for et GitLab-prosjekt for å samle inn feilrapporter, kan også gi angripere en måte å opprette arbeidselementer i deres navn. Forskere hos Aikido fant aktive adresser i offentlig prosjektdokumentasjon og advarte om at de samme opplysningene kan gjøre det mulig å opprette merge requests.
Private adresser inneholder langvarige tokens
GitLab lar brukere opprette prosjektproblemer eller oppgaver ved å sende en e-post til en spesielt generert adresse. Adressen inneholder et glimt--token som er knyttet til brukerens konto. GitLab bruker dette tokenet til å behandle innkommende meldinger som arbeid fra kontoeieren.
Disse adressene er ment å forbli private. Aikido fant dem imidlertid i offentlige README-filer, bidragsveiledninger og støttesider. Noen prosjektansvarlige hadde publisert adressene slik at folk kunne sende feilrapporter via e-post.
Angripere kan endre adressen for å opprette merge requests
Ifølge Aikido kan noen som får tak i en adresse, endre suffikset -issue til -merge-request. GitLab vil da godta e-post sendt til den endrede adressen som en merge request fra tokeneieren.
Avsenderen trenger ikke å bruke e-postkontoen til eieren. Aikidos tester viste også at innkommende e-post omgikk GitLabs begrensninger for IP-adresser.
Tilgangen en angriper får, avhenger av tokeneierens tillatelser. Under enkelte omstendigheter kan den resulterende aktiviteten påvirke private repositorier, kodeendringer eller CI/CD-prosesser. En angriper trenger også målprosjektets bane og ID. Det å kjenne e-postadressen alene fjerner ikke disse kravene.
Forskere fant adresser i offentlig dokumentasjon
Aikido fant rundt et dusin aktive innkommende adresser i løpet av én ettermiddag med søk. Noen tilhørte populære åpen kildekode-prosjekter.
Forskerne rapporterte problemet til GitLab i mai 2026. GitLab avsluttet rapporten som tilsiktet atferd. Etter en oppfølging i juni oppdaterte GitLab grensesnittet og dokumentasjonen for å forklare funksjonen for merge requests og virkningen på IP-begrensninger.
GitLabs dokumentasjon advarer brukere om å holde disse adressene private. Den sier at alle som kjenner en slik adresse, kan opprette problemer eller merge requests som eieren.
Prosjektansvarlige bør tilbakestille eksponerte tokens
Prosjektansvarlige bør fjerne alle publiserte e-postadresser for GitLab-prosjekter fra offentlig dokumentasjon. Hvis en adresse allerede har vært offentlig tilgjengelig, bør de tilbakestille tokenet og gjennomgå prosjektet for uventede arbeidselementer eller merge requests.
0 responses to “Eksponerte e-postadresser for GitLab-prosjekter kan la angripere sende inn kode”