En su más reciente publicación, GitLab anunció el lanzamiento de las versiones 15.01, 14.10.4, y 14.9.5 de GitLab Community Edition (CE) y GitLab Enterprise Edition (EE). Estas versiones contienen correcciones de seguridad importantes, por lo que se recomienda a los usuarios de implementaciones anteriores abordar a la brevedad.
Según el reporte, se corrigieron un total de ocho vulnerabilidades de todos los rangos de severidad, cuya explotación habría permitido a los actores de amenazas desplegar múltiples escenarios de hacking, incluyendo la ejecución de scripts entre sitios (XSS), escaladas de privilegios e incluso la instalación de backdoors en proyectos de GitLab. Las fallas detectadas y abordadas se describen a continuación, junto con su clave de identificación y puntuación asignada según el Common Vulnerability Scoring System (CVSS).
Secuestro de cuenta mediante cambio de email SCIM: Cuando se configura SAML SSO grupal, la función SCIM permitiría que cualquier propietario de un grupo Premium invite a usuarios arbitrarios a través de su nombre de usuario y dirección email para posteriormente cambiar las direcciones email de los usuarios a través de SCIM a una dirección controlada por hackers y tomar control de la cuenta afectada debido a la ausencia de medidas de autenticación multifactor. La falla recibió un puntaje CVSS de 9.9/10 y fue identificada como CVE-2022-1680.
XSS almacenado en Jira: Un error de scripts entre sitios (XSS) almacenado en Jira permitiría a los actores de amenazas ejecutar código JavaScript arbitrario en GitLab a través de problemas de Jira especialmente diseñados. La falla fue identificada como CVE-2022-1940 y recibió un puntaje CVSS de 7.7/10.
Ataque XSS en quick actions. La ausencia de validación de entradas en ‘quick actions’ permitiría a los actores de amenazas explotar un error XSS mediante la inyección de HTML en los detalles de contacto. La falla recibió un puntaje CVSS de 8.7/10 y recibió la clave de identificación CVE-2022-1948.
Evasión de restricciones de IP al usar tokens de activación: Una autorización incorrecta en GitLab EE permitiría a los actores de amenazas hacer mal uso de un token de activación desde cualquier ubicación, incluso evadiendo restricciones de dirección IP. La falla recibió un puntaje CVSS de 6.5/10 y fue identificada como CVE-2022-1935.
Evasión de restricciones de IP al usar tokens de implementación de proyectos: Una autorización incorrecta en GitLab habría permitido a los hackers maliciosos usando tokens de implementación de proyectos acceder desde cualquier ubicación, incluso con restricciones de dirección IP activadas. La falla fue identificada como CVE-2022-1936 y recibió un puntaje CVSS de 6.5/10.
Autorización incorrecta en Interactive Web Terminal: Cuando la función Interactive Web Terminal está configurada, una autorización incorrecta permitiría a los usuarios con el rol de Desarrollador abrir terminales en trabajos en ejecución de otros desarrolladores, potencialmente exponiendo estos trabajos a escenarios de hacking. La vulnerabilidad fue identificada como CVE-2022-1944 y recibió un puntaje CVSS de 5.4/10.
Miembros de subgrupos pueden enumerar miembros del grupo principal: Un problema en todas las versiones de GitLab CC/EE permitiría que un miembro del subgrupo acceda a la lista de miembros de su grupo principal. La vulnerabilidad recibió un puntaje CVSS de 4.3/10 y fue identificada como CVE-2022-1821.
Evasión de bloqueo de miembros de grupo: Los mantenedores de grupos maliciosos podrían agregar nuevos miembros a un proyecto dentro de su grupo a través de API REST, incluso después de que los propietarios del grupo habiliten configuraciones para prevenir que se agreguen miembros a proyectos dentro del grupo. La falla fue identificada como CVE-2022-1783 y recibió un puntaje CVSS de 2.7/10.
GitLab agrega que estas correcciones son parte de su esfuerzo por mantener los más altos estándares de seguridad y mejorar la experiencia de los usuarios. Para más información, los usuarios pueden visitar la sección de preguntas frecuentes de GitLab, donde se encuentran descripciones más detalladas sobre cada vulnerabilidad y sus correspondientes parches de seguridad.
El servicio de alojamiento y desarrollo de código también ofrece a sus usuarios recibir notificaciones de seguridad directamente en su bandeja de entrada a través de su página de contacto. Para recibir notificaciones de nuevos lanzamientos de actualizaciones a través de RSS, los usuarios de GitLab pueden suscribirse al feed RSS de lanzamientos de seguridad de GitLab.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
