Atualizações de Segurança do GitLab: Falhas Críticas e Recomendação de Atualização

O GitLab lançou atualizações de segurança para a Community Edition (CE) e a Enterprise Edition (EE) com o objetivo de corrigir oito falhas de segurança, incluindo um bug crítico que poderia permitir a execução de pipelines de Integração Contínua e Entrega Contínua (CI/CD) em ramos arbitrários.

Descrição da Vulnerabilidade Crítica

A vulnerabilidade, rastreada como CVE-2024-9164, possui uma pontuação CVSS de 9.6 em 10.

“Uma questão foi descoberta no GitLab EE que afeta todas as versões a partir de 12.5 até antes de 17.2.9, a partir de 17.3, até antes de 17.3.5, e a partir de 17.4 até antes de 17.4.2, que permite a execução de pipelines em ramos arbitrários,” afirmou o GitLab em um comunicado.

Outras Vulnerabilidades Reportadas

Além da falha crítica mencionada, as outras sete questões são classificadas em termos de severidade:

• CVE-2024-8970 (Pontuação CVSS: 8.2), que permite a um atacante acionar um pipeline como outro usuário em determinadas circunstâncias.
• CVE-2024-8977 (Pontuação CVSS: 8.2), que permite ataques SSRF em instâncias do GitLab EE com o Product Analytics Dashboard configurado e habilitado.
• CVE-2024-9631 (Pontuação CVSS: 7.5), que provoca lentidão ao visualizar diffs de solicitações de merge com conflitos.
• CVE-2024-6530 (Pontuação CVSS: 7.3), que resulta em injeção de HTML na página de OAuth ao autorizar um novo aplicativo devido a um problema de cross-site scripting.

Contexto de Vulnerabilidades Relacionadas

O aviso é mais uma evidência do que parece ser um fluxo contínuo de vulnerabilidades relacionadas a pipelines que foram divulgadas pelo GitLab nos últimos meses. No mês passado, a empresa abordou outra falha crítica (CVE-2024-6678, Pontuação CVSS: 9.9) que poderia permitir a um atacante executar jogos de pipeline como um usuário arbitrário.

Antes disso, foram corrigidas outras três deficiências semelhantes:

• CVE-2023-5009 (Pontuação CVSS: 9.6),
• CVE-2024-5655 (Pontuação CVSS: 9.6), e
• CVE-2024-6385 (Pontuação CVSS: 9.6).

Recomendações para Usuários

Embora não haja evidências de exploração ativa da vulnerabilidade, recomenda-se que os usuários atualizem suas instâncias para a versão mais recente a fim de se proteger contra potenciais ameaças.

#GitLab, #Segurança, #Vulnerabilidades, #CICD, #Atualizações

autor ref: The Hacker News
ref:https://thehackernews.com/2024/10/new-critical-gitlab-vulnerability-could.html