A GitLab lançou atualizações críticas para corrigir múltiplas vulnerabilidades, sendo a mais grave delas (
CVE-2024-6678
) permitindo que um atacante dispare pipelines como usuários arbitrários sob certas condições.
Estas atualizações são para as versões 17.3.2, 17.2.5 e 17.1.7, tanto para GitLab Community Edition (CE) quanto para Enterprise Edition (EE), e corrigem um total de 18 questões de segurança como parte das atualizações de segurança bi-mensais (programadas).
Com uma pontuação de severidade crítica de 9.9, a vulnerabilidade
CVE-2024-6678
poderia permitir que um atacante executasse ações de parada de ambiente como o dono do job de ação de parada.
A gravidade da falha vem do seu potencial para exploração remota, da falta de interação do usuário e dos baixos privilégios exigidos para explorá-la.
A GitLab alerta que o problema afeta as versões CE/EE de 8.14 até 17.1.7, versões de 17.2 antes da 17.2.5 e versões de 17.3 antes da 17.3.2.
As pipelines da GitLab são fluxos de trabalho automatizados usados para construir, testar e implantar código, parte do sistema de CI/CD (Continuous Integration/Continuous Delivery) da GitLab.
Elas são projetadas para simplificar o processo de desenvolvimento de software automatizando tarefas repetitivas e garantindo que as mudanças na base de código sejam testadas e implantadas de maneira consistente.
A GitLab abordou vulnerabilidades na execução arbitrária de pipelines várias vezes nos últimos meses, incluindo em julho de 2024, para corrigir o
CVE-2024-6385
, em junho de 2024, para corrigir o
CVE-2024-5655
, e em setembro de 2023 para corrigir o
CVE-2023-5009
, todas classificadas como críticas.
O boletim também lista quatro questões de alta severidade, com pontuações entre 6.7 – 8.5, que poderiam potencialmente permitir aos atacantes interromper serviços, executar comandos não autorizados ou comprometer recursos sensíveis.
Os problemas são resumidos da seguinte forma:
CVE-2024-8640
: Devido a um filtro inadequado de entrada, atacantes poderiam injetar comandos em um servidor Cube conectado via configuração YAML, comprometendo potencialmente a integridade dos dados.
Impacta o GitLab EE a partir da versão 16.11.
CVE-2024-8635
: Atacantes poderiam explorar uma vulnerabilidade de Server-Side Request Forgery (SSRF) criando uma URL personalizada do Proxy de Dependência Maven para fazer solicitações a recursos internos, comprometendo a infraestrutura interna.
Afeta o GitLab EE a partir da versão 16.8.
CVE-2024-8124
: Atacantes poderiam desencadear um ataque DoS enviando um grande parâmetro ‘glm_source’, sobrecarregando o sistema e tornando-o indisponível.
Impacta o GitLab CE/EE a partir da versão 16.4.
CVE-2024-8641
: Atacantes poderiam explorar um CI_JOB_TOKEN para ganhar acesso ao token de sessão do GitLab de uma vítima, permitindo que eles sequestrassem uma sessão.
Afeta o GitLab CE/EE a partir da versão 13.7.
Para instruções de atualização, código fonte e pacotes, confira o portal oficial de download do GitLab.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...