5 errores críticos: GitLab está perdiendo control sobre la seguridad

GitLab ha lanzado actualizaciones de seguridad para las versiones Community Edition (CE) y Enterprise Edition (EE), cerrando ocho vulnerabilidades, incluida una crítica que podría permitir ejecutar pipelines CI/CD en ramas arbitrarias.

Una de las vulnerabilidades, registrada como CVE-2024-9164, obtuvo una puntuación cercana a la más alta — 9.6 de 10 en la escala CVSS. En el comunicado oficial de GitLab, se informa que la vulnerabilidad afecta a las versiones EE, desde la 12.5 hasta la 17.2.9, desde la 17.3 hasta la 17.3.5 y desde la 17.4 hasta la 17.4.2. El error permite ejecutar pipelines en ramas no autorizadas de los repositorios.

La lista de las siete vulnerabilidades restantes incluye cuatro problemas de alto riesgo, dos de riesgo medio y uno de riesgo bajo. A continuación, se detallan las vulnerabilidades con la calificación más alta:

• CVE-2024-8970 (puntuación CVSS: 8.2) — permite a un atacante ejecutar pipelines en nombre de otro usuario en determinadas circunstancias.
• CVE-2024-8977 (puntuación CVSS: 8.2) — permite llevar a cabo ataques SSRF cuando está habilitado el Product Analytics Dashboard.
• CVE-2024-9631 (puntuación CVSS: 7.5) — provoca ralentización al revisar conflictos en solicitudes de merge.
• CVE-2024-6530 (puntuación CVSS: 7.3) — inyección HTML en la página de autorización de OAuth para nuevas aplicaciones debido a una vulnerabilidad de cross-site scripting.

Las tres vulnerabilidades restantes permiten a las claves de despliegue modificar repositorios archivados ( CVE-2024-9623 ), permiten a invitados revelar plantillas de proyectos a través de la API ( CVE-2024-5005 ) y permiten a usuarios no autorizados determinar la versión de GitLab ( CVE-2024-9596 ).

Estas actualizaciones continúan una serie de correcciones de vulnerabilidades relacionadas con los pipelines que GitLab ha estado revelando en los últimos meses. En septiembre, la empresa solucionó otra vulnerabilidad crítica ( CVE-2024-6678, puntuación CVSS: 9.9), que permitía ejecutar trabajos de pipelines en nombre de un usuario arbitrario.

Anteriormente se corrigieron tres vulnerabilidades similares — CVE-2023-5009, CVE-2024-5655 y CVE-2024-6385 — cada una con una puntuación de 9.6 en la escala CVSS.

Por el momento, no hay información sobre la explotación activa de las vulnerabilidades recientemente corregidas, pero se recomienda encarecidamente a los usuarios actualizar sus versiones de GitLab para protegerse contra posibles amenazas.