---
# System prepended metadata

title: 'Trabalho realizado na Semana #3'

---

# Trabalho realizado na Semana #3


##  Identificação
- c
- Contas registadas no GitLab usando um fornecedor OmniAuth nas versões 14.7 anteriores à 14.7.7, 14.8 anteriores à 14.8.5, e 14.9 anteriores à 14.9.2 permitiu que atacantes ganhassem acesso às contas. 
- Um ficheiro sofreu uma pequena alteração num *pull request* que foi aplicado ao código de produção, em que em vez de *authenticated hash* o *GitLab* usou uma palavra-passe *hardcoded*.
![](https://i.imgur.com/9Nzl6eh.png)



## Catalogação 
- Foi descoberto internamente pela equipa do *GitLab* e reportado a 29 de março de 2022.
- Afetou as contas criadas usando as versões lançadas entre janeiro e março. 
- Tinha um nível de gravidade crítico, com um CVSS de 9.1.
- CWE-798 - Uso de credenciais *hardcoded*.
- Attack Vector : ataque pela rede
- Attack Complexity: baixa complexidade
- Privileges Required: sem privilégios necessários

## Exploit
- Novas contas Gitlab (criadas desde a primeira versão afetada do Gitlab e se o Gitlab estiver antes da versão corrigida) podem ser registadas com a seguinte palavra-passe: **123qweQWE!@#000000000**

## Ataques
- Potenciais danos: roubar, alterar ou apagar informação pessoal e código. 
- Foi executado um reset das palavras-passe do GitLab para um conjunto seleccionado de utilizadores. A investigação da equipa não mostra qualquer indicação de que os utilizadores ou contas tenham sido comprometidos.

