"GerriScary"-kwetsbaarheid in Gerrit stelde risico van code-integriteit bloot in belangrijke Google-projecten

Een onlangs bekendgemaakte kwetsbaarheid in Gerrit, het open-source code-reviewsysteem dat onder andere door Google wordt gebruikt, heeft mogelijk een pad blootgelegd waarlangs ongeautoriseerde code in kritieke softwareprojecten kan worden geïntroduceerd zonder standaard goedkeuringsprocessen. Beveiligingsonderzoekers van Tenable onthulden dat de fout het gevolg was van verkeerd geconfigureerde machtigingen en logica voor beoordelingslabels. In bepaalde configuraties konden aanvallers gebruikmaken van een functie die bekend staat als "addPatchSet" om reeds goedgekeurde wijzigingen aan te passen, waardoor kwaadaardige code kon worden geïntroduceerd zonder dat dit tot een herbeoordeling leidde.

Een afzonderlijk rapport van CybersecurityAsia.net werd bevestigd dat aanvallers handmatige revisiefasen konden omzeilen en geautomatiseerde tools konden gebruiken om ongeautoriseerde code in te voegen zonder interactie van de gebruiker.

Ten minste 18 high-profile repositories werden als kwetsbaar geïdentificeerd, waaronder projecten gekoppeld aan Chromium, Dart, Bazel en andere infrastructuurcomponenten. Het probleem had ook te maken met een "race condition" in het geautomatiseerde indieningsproces, waardoor aanvallers konden handelen binnen een kort tijdsbestek voordat code werd samengevoegd.

Op het moment van openbaarmaking was er nog geen bevestigde uitbuiting van de kwetsbaarheid in het wild waargenomen. Tenable voerde verantwoordelijke tests uit met goedaardige code en probeerde geen volledige end-to-end uitbuiting van de kwetsbaarheid.

Google heeft sindsdien wijzigingen in de configuratie doorgevoerd om het probleem te verhelpen. Ondertussen heeft Tenable gewaarschuwd dat andere open-source projecten die Gerrit gebruiken hun configuraties moeten herzien, aangezien soortgelijke instellingen elders kunnen bestaan, en het raadt alle gebruikers van Gerrit aan om de toestemmingsregels en het beleid voor het behouden van labels te controleren om de integriteit van de code te waarborgen. De onderliggende verkeerde configuraties kunnen ook van invloed zijn op andere organisaties die Gerrit gebruiken, met name waar standaardinstellingen voor toestemming en geautomatiseerde processen voor het indienen van code worden gebruikt. Dit incident onderstreept het voortdurende belang van veilige ontwikkelomgevingen in het open-source ecosysteem.