A GitLab lançou atualizações de segurança para resolver 14 falhas, incluindo uma vulnerabilidade crítica que pode ser explorada para executar pipelines de integração contínua e implantação contínua (CI/CD) como qualquer usuário.
As vulnerabilidades, que afetam o GitLab Community Edition (CE) e o Enterprise Edition (EE), foram corrigidas nas versões 17.1.1, 17.0.3 e 16.11.5.
A mais grave das vulnerabilidades é a CVE-2024-5655 (pontuação CVSS: 9.6), que pode permitir que um ator malicioso acione um pipeline como outro usuário em certas circunstâncias.
Ela impacta as seguintes versões do CE e EE:
- 17.1 anterior a 17.1.1
- 17.0 anterior a 17.0.3
- 15.8 anterior a 16.11.5
A GitLab informou que a correção introduz duas mudanças significativas: a autenticação GraphQL usando CI_JOB_TOKEN é desativada por padrão, e os pipelines não serão mais executados automaticamente quando uma solicitação de mesclagem for redirecionada após a mesclagem de seu branch de destino anterior.
Algumas das outras falhas importantes corrigidas na última versão incluem:
- CVE-2024-4901 (pontuação CVSS: 8.7) – Uma vulnerabilidade XSS armazenada pode ser importada de um projeto com notas de commit maliciosas
- CVE-2024-4994 (pontuação CVSS: 8.1) – Um ataque CSRF na API GraphQL do GitLab que leva à execução de mutações arbitrárias do GraphQL
- CVE-2024-6323 (pontuação CVSS: 7.5) – Uma falha de autorização na pesquisa global que permite o vazamento de informações sensíveis de um repositório privado dentro de um projeto público
- CVE-2024-2177 (pontuação CVSS: 6.8) – Uma vulnerabilidade de falsificação entre janelas que permite a um atacante abusar do fluxo de autenticação OAuth via um payload criado
Embora não haja evidências de exploração ativa das falhas, recomenda-se que os usuários apliquem os patches para mitigar potenciais ameaças.
Fonte: https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/
Sou um profissional na área de Tecnologia da informação, especializado em monitoramento de ambientes, Sysadmin e na cultura DevOps. Possuo certificações de Segurança, AWS e Zabbix.
