Die Plattform GitLab, die von Tausenden von Unternehmen zur Verwahrung ihres Quellcodes genutzt wird, leidet unter einer kritischen Schwachstelle. Ein Fehler in ihrem GraphQL-System ermöglicht es jedem Angreifer, ohne Anmeldedaten vollständige öffentliche Projekte zu löschen. Das bedeutet, dass Dienste und Anwendungen, die die Bevölkerung täglich nutzt, wie Bank-Websites oder Online-Shops, plötzlich verschwinden könnten, wenn ihre Entwickler den Sicherheitspatch nicht dringend anwenden.
Das Loch in GraphQL, das die Tür offen lässt 🚪
Der Fehler liegt in der GraphQL-Abfrageebene von GitLab, insbesondere in der Verwaltung von Mutationen. Eine manipulierte Anfrage kann die Authentifizierung umgehen und den Löschbefehl auf jedem öffentlichen Repository ausführen. Das Unternehmen hat bereits korrigierte Versionen für alle Editionen veröffentlicht, einschließlich Community und Enterprise. Die Empfehlung ist klar: Sofort auf die neueste verfügbare Version aktualisieren. Wer das nicht tut, setzt jahrelange Arbeit einem trivialen Angriff aus, der nicht einmal eine Registrierung auf der Plattform erfordert.
Dein Code, deine Mühe, und ein Express-Löschen 🗑️
Man würde denken, dass man zum Löschen von etwas so Wertvollem wie dem Quellcode eines Unternehmens zumindest ein Passwort, eine Zugangskarte oder ein Ritual mit Kerzen bräuchte. Aber nein, bei GitLab reicht eine gut formatierte Anfrage und ein wenig Boshaftigkeit. Es ist, als ob ein Fremder in dein Haus eindringen und alle deine Festplatten in den Müll werfen könnte, ohne auch nur zu klingeln. Aktualisiert, oder macht euch bereit, eurem Chef zu erklären, dass das Vorzeigeprojekt verschwunden ist, weil ihr den Aktualisieren-Button nicht gedrückt habt.