CISA alertó hoy sobre la explotación activa de una vulnerabilidad de máxima gravedad en el sistema GitLab, que permite a los atacantes secuestrar cuentas mediante el restablecimiento de contraseñas. La vulnerabilidad, identificada como CVE-2023-7028 (CVSS 10.0), se debe a una debilidad de control de acceso inadecuado que permite a actores remotos no autenticados enviar correos electrónicos de restablecimiento de contraseña a cuentas bajo su control, sin necesidad de interacción del usuario.
Impacto potencial
GitLab aloja datos confidenciales como código propietario y claves API. El secuestro de cuentas puede tener un impacto significativo, incluyendo la posibilidad de ataques a la cadena de suministro que pueden comprometer repositorios mediante la inserción de código malicioso en entornos CI/CD (Integración Continua/Implementación Continua).
Aunque los atacantes no pueden aprovechar esta vulnerabilidad para secuestrar cuentas donde está habilitada la autenticación de dos factores (2FA), es fundamental parchear los sistemas donde las cuentas no están protegidas con esta medida adicional.
Vulnerabilidades corregidas
La falla afecta las ediciones GitLab Community y Enterprise. GitLab solucionó la vulnerabilidad en versiones 16.7.2, 16.5.6 y 16.6.4, y actualizó los parches a las versiones 16.1.6, 16.2.9 y 16.3.7.
Además de CVE-2023-7028, la versión 16.7.2 corrigió otras vulnerabilidades:
- CVE-2023-4812: Vulnerabilidad de alta gravedad en GitLab 15.3 y versiones posteriores que permite eludir la aprobación de CODEOWNERS al realizar cambios en una solicitud de fusión previamente aprobada.
- CVE-2023-6955: Control de acceso inadecuado para espacios de trabajo existentes en GitLab anteriores a 16.7.2, lo que permite a los atacantes crear un espacio de trabajo en un grupo asociado con un agente de otro grupo.
- CVE-2023-2030: Fallo en la validación de firmas de confirmación que afecta a GitLab CE/EE versiones 12.2 y posteriores, lo que implica la posibilidad de modificar los metadatos de las confirmaciones firmadas debido a una validación de firma incorrecta.
Estado de las instancias vulnerables
El servicio de monitoreo de amenazas Shadowserver encontró 5.379 instancias vulnerables de GitLab expuestas en línea en enero, cuando se lanzaron los parches de seguridad. Sin embargo, menos de la mitad (2.394) aún están accesibles.
Acción de CISA
CISA agregó CVE-2023-7028 a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el miércoles, confirmando que está explotado activamente en ataques y ordenando a las agencias federales de EE.UU. que protejan sus sistemas en un plazo de tres semanas antes del 22 de mayo.
«Este tipo de vulnerabilidades son vectores de ataque frecuentes para actores cibernéticos maliciosos y plantean riesgos significativos para la empresa federal», dijo CISA.
Aunque el catálogo KEV está dirigido principalmente a agencias federales, las organizaciones privadas que utilizan la plataforma GitLab DevOps también deberían priorizar parchear esta vulnerabilidad para evitar ataques.
Es posible que aquellos que aún no han aplicado el parche ya se hayan visto comprometidos, por lo que deben seguir la guía de respuesta a incidentes de GitLab y verificar si hay signos de compromiso lo antes posible.