gitlab漏洞系列-未授权用户可能触发部署到受保护环境

• 背景

• 复现步骤

• 第二个问题是维护者无法从受保护环境中移除成员

gitlab漏洞系列-未授权用户可能触发部署到受保护环境

声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

背景

vaib25vicky于2021年3月提交了这个漏洞: 维护人员或项目所有者可以定义受保护环境和访问受保护环境的用户。 这里有两个问题:

1.从项目中删除的用户仍然可以访问受保护的环境

2.用户被删除并且不再是项目的一部分，那么维护者就不能将其删除利用project settings > environment

由于这两个问题，被删除且不再是项目一部分的用户仍然可以从项目环境页面触发部署。

复现步骤

1.创建公共组

2.受保护环境是一个高级功能，所以你必须选择试用。跳转至 group>setting>billing，并开始免费试用https://gitlab.com/groups/<namespace>/-/billings

3.在名为test_project的组中创建一个公共项目

4.作为维护人员邀请一个具有开发人员权限的成员到您的项目test_project,假设名字为user_foo

5.作为维护者创建一个.gitlab-ci。项目中的Yml文件，内容如下:

deploy:  
  stage: deploy  
  script:  
    - echo "Deploy to production serverl"  
  environment:  
    name: production  
    url: https://example.com

6.作为维护人员，到您的 project setting> CI/CD > Protected Environment，并定义一个受保护环境，如:https://gitlab.com/<namespace>/test_project/-/settings/ci_cd

生产环境中: 允许部署-维护者角色添加 user_foo

在新的隐身窗口或浏览器中，登录到开发人员用户user_foo帐户，然后转到环境页面https://gitlab.com/<namespace>/test_project/-/environments

因为user_foo被允许访问受保护环境，他可以编辑、停止和重新部署。

回到维护者帐户，从项目中删除user_foo

User_foo刷新页面或再次访问https://gitlab.com/<namespace>/test_project/-/environments

将看到其他选项，如停止、编辑被撤销，但没有重新部署

用户不仅可以重新部署最新的，而且所有以前的部署也可以

当用户user_foo单击一个旧的部署时，您将看到部署管道将运行，新的部署将被部署

通过查看https://gitlab.com/<namespace>/test_project/-/jobs，可以看到一个新的管道作业部署运行

第二个问题是维护者无法从受保护环境中移除成员

继续前面的场景

作为维护人员进入project > settings > CI/CD > protected environmenthttps://gitlab.com/<namespace>/test_project/-/settings/ci_cd

单击允许部署并从列表中取消选择user_foo

刷新页面后，重新展开受保护环境。您将看到该用户仍然没有被删除，而且维护人员无法删除该用户。