GitLab ha lanzado una actualización de seguridad que aborda 14 fallas, incluida una vulnerabilidad crítica que podría permitir a un actor malintencionado activar una canalización como otro usuario en determinadas circunstancias.
Vulnerabilidades corregidas
Las debilidades afectan tanto a la edición comunitaria (CE) como a la edición empresarial (EE) de GitLab. Las versiones vulnerables incluyen:
- 17.1 anterior a 17.1.1
- 17.0 anterior a 17.0.3, y
- 15.8 antes del 16.11.5
Las soluciones se encuentran en las versiones 17.1.1, 17.0.3 y 16.11.5.
Vulnerabilidad crítica
La más grave de las vulnerabilidades es CVE-2024-5655 (puntuación CVSS: 9,6), que podría permitir a un actor malintencionado activar una canalización como otro usuario en determinadas circunstancias.
GitLab indicó que la solución introduce dos cambios importantes. Como resultado, la autenticación GraphQL usando CI_JOB_TOKEN está deshabilitada de forma predeterminada y las canalizaciones ya no se ejecutarán automáticamente cuando se redireccione una solicitud de fusión después de fusionar su rama de destino anterior.
Otras vulnerabilidades importantes
Algunas de las otras fallas importantes solucionadas como parte de la última versión incluyen:
- CVE-2024-4901 (puntuación CVSS: 8,7): una vulnerabilidad XSS almacenada podría importarse desde un proyecto con notas de confirmación maliciosas.
- CVE-2024-4994 (puntuación CVSS: 8,1): un ataque CSRF a la API GraphQL de GitLab que conduce a la ejecución de mutaciones arbitrarias de GraphQL.
- CVE-2024-6323 (puntuación CVSS: 7,5): una falla de autorización en la función de búsqueda global que permite la filtración de información confidencial desde un repositorio privado dentro de un proyecto público.
- CVE-2024-2177 (puntuación CVSS: 6,8): una vulnerabilidad de falsificación que permite a un atacante abusar del flujo de autenticación OAuth mediante una carga útil especialmente diseñada.
Aunque no hay evidencia de explotación activa de las fallas, se recomienda a los usuarios que apliquen los parches para mitigar posibles amenazas.