Udviklere, der offentliggør en privat e-mailadresse til et GitLab-projekt for at modtage fejlrapporter, kan også give angribere en måde at oprette arbejdselementer i deres navn. Forskere hos Aikido fandt aktive adresser i offentlig projektdokumentation og advarede om, at de samme oplysninger kan gøre det muligt at oprette merge requests.
Private adresser indeholder langtidsholdbare tokens
GitLab giver brugere mulighed for at oprette projektissues eller opgaver ved at sende en e-mail til en særligt genereret adresse. Adressen indeholder et glimt--token, der er knyttet til brugerens konto. GitLab bruger dette token til at behandle indgående beskeder som arbejde fra kontoejeren.
Disse adresser er beregnet til at forblive private. Aikido fandt dem dog i offentlige README-filer, bidragsvejledninger og supportsider. Nogle projektansvarlige havde offentliggjort adresserne, så folk kunne sende fejlrapporter via e-mail.
Angribere kan ændre adressen for at oprette merge requests
Ifølge Aikido kan en person, der får fat i en adresse, ændre dens -issue-endelse til -merge-request. GitLab vil derefter acceptere e-mails sendt til den ændrede adresse som en merge request fra tokenejeren.
Afsenderen behøver ikke at bruge ejerens e-mailkonto. Aikidos tests viste også, at indgående e-mails omgik GitLabs begrænsninger for IP-adresser.
Den adgang, en angriber får, afhænger af tokenejerens tilladelser. Under visse omstændigheder kan den resulterende aktivitet påvirke private repositories, kodeændringer eller CI/CD-processer. En angriber skal også kende målprojektets sti og ID. Kendskab til e-mailadressen alene fjerner ikke disse krav.
Forskere fandt adresser i offentlig dokumentation
Aikido fandt omkring et dusin aktive indgående adresser i løbet af en eftermiddags søgning. Nogle tilhørte populære open source-projekter.
Forskerne rapporterede problemet til GitLab i maj 2026. GitLab lukkede rapporten som tilsigtet adfærd. Efter en opfølgning i juni opdaterede GitLab sin brugerflade og dokumentation for at forklare funktionen til merge requests og virkningen på IP-begrænsninger.
GitLabs dokumentation advarer brugere om at holde disse adresser private. Den siger, at enhver, der kender en sådan adresse, kan oprette issues eller merge requests som ejeren.
Projektansvarlige bør nulstille eksponerede tokens
Projektansvarlige bør fjerne enhver offentliggjort e-mailadresse til et GitLab-projekt fra offentlig dokumentation. Hvis en adresse allerede har været offentliggjort, bør de nulstille dens token og gennemgå projektet for uventede arbejdselementer eller merge requests.
0 svar til “Eksponerede e-mailadresser til GitLab-projekter kan lade angribere indsende kode”