Lộ token email GitLab có thể bị lạm dụng để đẩy mã và chạy CI/CD
"A leaked GitLab incoming-email token can be abused to create issues, open merge requests, push commits, and trigger CI/CD jobs as the account owner, because GitLab does not verify the sender and the token does not expire. The impact depends on the victim's permissions and can bypass IP allowlists and 2FA for email-based actions; GitLab has discussed possible mitigations, but no fix is in place yet."
Rủi ro chiếm quyền thao tác qua email nếu token bị lộ; có thể đẩy mã, kích hoạt CI/CD và vượt IP allowlist/2FA trong một số luồng.
Có thể gây thay đổi mã nguồn trái phép, làm gián đoạn pipeline CI/CD và tăng nguy cơ rò rỉ bí mật hoặc phát tán mã độc vào nhánh dự án.
Một nghiên cứu bảo mật cho thấy token email vào GitLab dùng để tạo issue có thể bị lạm dụng nếu bị lộ. Với token này, kẻ tấn công có thể gửi email để tạo issue, mở merge request, đẩy commit lên nhánh mà tài khoản có quyền ghi và kích hoạt CI/CD jobs dưới danh nghĩa nạn nhân. GitLab hiện không xác minh người gửi và token này không hết hạn, nên email gửi từ bất kỳ hộp thư nào cũng có thể được xử lý như đến từ chủ tài khoản.
Mức độ ảnh hưởng phụ thuộc vào quyền của tài khoản bị lộ: tài khoản có quyền cao có thể tác động tới nhánh bảo vệ và bí mật CI/CD, trong khi tài khoản quyền thấp bị giới hạn hơn. Cơ chế này cũng có thể bỏ qua IP allowlist và hoạt động không cần 2FA đối với các thao tác qua email.
Khuyến nghị: đặt lại incoming email token trong trang tài khoản nếu nghi ngờ bị lộ; rà soát README, contributing guide và tài liệu hỗ trợ để tìm địa chỉ email công khai; với self-managed GitLab, quản trị viên có thể cân nhắc tắt incoming email ở cấp hệ thống. Hiện GitLab mới đang xem xét biện pháp xác thực người gửi, chưa có bản sửa triệt để được áp dụng rộng rãi.