GitLab, proveedores de una aplicación única para administrar repositorios de git, anunciaron la corrección de una vulnerabilidad de alta severidad cuya explotación permitiría a los actores de amenazas remotos tomar control de las cuentas de usuarios a través de contraseñas codificadas.
En una alerta de seguridad publicada el jueves pasado, GitLab confirmó el error: “Se estableció una contraseña codificada para las cuentas registradas con un proveedor de OmniAuth en las versiones 14.7 de GitLab CE/EE anteriores a 14.7.7, 14.8 anteriores a 14.8.5, y 14.9 anterior a 14.9.2, lo que permitiría a los actores de amenazas tomar control de las cuentas afectadas”.
La falla fue identificada como CVE-2022-1162, recibió un puntaje de 9.1/10 según el Common Vulnerability Scoring System (CVSS) y afecta a GitLab Community Edition y a Enterprise Edition. GitLab recomienda encarecidamente que todas las instalaciones que ejecuten una versión afectada se actualicen a la última versión lo antes posible.
Gitlab señala que hasta el momento no se han detectado indicios de que los usuarios o las cuentas se hayan visto comprometidos, pero como medida de precaución, se habían restablecido las contraseñas de un número limitado de usuarios de GitLab.com como parte del programa de respuesta. Junto con esta vulnerabilidad crítica, GitLab anunció la corrección de otras fallas de seguridad, incluyendo:
- Contraseñas estáticas configuradas inadvertidamente durante el registro basado en OmniAuth
- XSS almacenado en notas
- XSS almacenado en referencia de hito de varias palabras
- Denegación de servicio (DoS) causada por un archivo RDoc especialmente diseñado
- Los tokens de acceso a GitLab Pages se pueden reutilizar en múltiples dominios
- GitLab Pages utiliza tiempos de espera del servidor predeterminados (deshabilitados) y un tiempo de espera de TCP Keep-Alive débil
- La inclusión incorrecta en la definición de canalización expone variables de CI enmascaradas en la interfaz de usuario
- Error DoS de expresión regular en enlace de activo de lanzamiento
- Últimos detalles de compromiso de proyectos privados filtrados a usuarios invitados a través de solicitudes de combinación
- Los análisis de CI/CD están disponibles incluso cuando las canalizaciones públicas están deshabilitadas
- La ausencia de un límite para la cantidad de etiquetas que se pueden agregar a un corredor puede causar problemas de rendimiento
- Error DoS del cliente a través de la representación de comentarios elaborados
- Error SSRF a través de la creación de reflejo del repositorio
- Evasión de las restricciones de sucursales en la integración de Asana
- Reglas de aprobación legibles por usuario invitado
- Redacción de mensajes de error InvalidURIError
- La importación de proyectos asigna a los usuarios created_by_id de los miembros en función del ID de usuario de origen
“Estamos dedicados a garantizar que todos los aspectos de GitLab que están expuestos a los clientes o que alojan datos de clientes se mantengan con los más altos estándares de seguridad. Como parte de mantener una buena higiene de seguridad, se recomienda enfáticamente que todos los clientes actualicen a la última versión de seguridad para su versión compatible”, concluye el reporte de la compañía.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
