GitLab, una plataforma líder para DevOps que integra las capacidades de los repositorios Git con características de integración y entrega continua (CI/CD). La plataforma ha publicado actualizaciones de seguridad importantes tanto para la Community Edition (CE) como para la Enterprise Edition (EE). Estas actualizaciones abordan varias vulnerabilidades, incluidas cuatro fallas destacadas que podrían permitir desde la ejecución de pipelines no autorizados hasta la inyección de scripts maliciosos.
- CVE-2024-9164 (CVSS 9.6): Vulnerabilidad crítica que permite a los atacantes ejecutar pipelines en ramas no autorizadas dentro de una instancia de GitLab. Esto puede comprometer la integridad y seguridad de los sistemas, ya que los atacantes pueden alterar el flujo de trabajo de desarrollo o exponer información confidencial almacenada en las configuraciones de los proyectos.
- CVE-2024-8970 (CVSS 8.2): Vulnerabilidad que permite a un atacante suplantar la identidad de otro usuario en GitLab, posibilitando la ejecución de acciones no autorizadas bajo la identidad de usuarios legítimos. Esto podría derivar en la manipulación de proyectos, creación de nuevos repositorios o ejecución de código con privilegios elevados.
- CVE-2024-8977 (CVSS 8.2): Vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) en el panel de análisis de GitLab. Un atacante podría enviar solicitudes maliciosas a servicios internos, lo que podría resultar en acceso no autorizado a datos o interfaces que deberían estar protegidas.
- CVE-2024-9631 (CVSS 7.5): Vulnerabilidad que permite la creación de una condición de denegación de servicio (DoS) al explotar diferencias en las solicitudes de fusión con conflictos. Al generar conflictos grandes o complejos, el sistema puede sobrecargarse y ralentizar o bloquear el servicio.
Productos y versiones afectadas:
| CVE | Producto afectado | Versiones afectadas | Solución |
|---|---|---|---|
| CVE-2024-9164 | GitLab Enterprise Edition (EE) | – Desde versiones 12.5 hasta anteriores 17.2.9. – Desde versiones 17.3 hasta anteriores 17.3.5 – Desde versiones 17.4 hasta anteriores 17.4.2. | Actualizar a las versiones 17.4.2, 17.3.5 o 17.2.9 de GitLab CE o EE. |
| CVE-2024-8970 | GitLab Community Edition (CE) y EE | – Desde versiones 11.6 hasta anteriores 17.2.9. – Desde versiones 17.3 hasta anteriores 17.3.5. – Desde versiones 17.4 hasta anteriores 17.4.2. | Actualizar a las versiones 17.4.2, 17.3.5 o 17.2.9 de GitLab CE o EE. |
| CVE-2024-8977 | GitLab Enterprise Edition (EE) | – Desde versiones 15.10 hasta anteriores 17.2.9. – Desde versiones 17.3 hasta anteriores 17.3.5. – Desde versiones 17.4 hasta anteriores 17.4.2. | Actualizar a las versiones 17.4.2, 17.3.5 o 17.2.9 de GitLab CE o EE. |
| CVE-2024-9631 | GitLab Community Edition (CE) y EE | – Desde versiones 13.6 hasta anteriores 17.2.9. – Desde versiones 17.3 hasta anteriores 17.3.5. – Desde versiones 17.4 hasta anteriores 17.4.2. | Actualizar a las versiones 17.4.2, 17.3.5 o 17.2.9 de GitLab CE o EE. |
Recomendaciones:
- Actualizar inmediatamente todas las instalaciones afectadas a la versión más reciente de GitLab.
- Implementar herramientas de monitoreo continuo para detectar cualquier comportamiento sospechoso en las versiones actualizadas.
- Configurar prácticas de seguridad, como la revisión periódica de permisos y roles dentro de la plataforma.
Referencias: