GitLab ha lanzado una actualización de seguridad que corrige múltiples vulnerabilidades que afectan a su edición Community (CE) y Enterprise (EE). Estas fallas, pueden permitir desde ataques XSS hasta la exposición de datos sensibles y condiciones de denegación de servicio (DoS).Las vulnerabilidades residen en funciones como la vista previa de issues, la gestión de ramas en proyectos privados, y el proxy de dependencias Maven.
- CVE-2025-1763 y CVE-2025-2443 (CVSS 8.7): Vulnerabilidades XSS en Maven Dependency Proxy. Estas dos vulnerabilidades de alta severidad, permiten a los atacantes ejecutar scripts maliciosos en los navegadores de los usuarios mediante la explotación de directivas de política de seguridad de contenido (CSP) y encabezados de caché mal configurados en el Maven Dependency Proxy.
- CVE-2025-1908 (CVSS 7.7): Esta vulnerabilidad de severidad alta permite a los atacantes inyectar encabezados de registro de errores de red (NEL) en el Maven Dependency Proxy, lo que podría facilitar el seguimiento de la actividad del navegador del usuario y permitir la toma de control de cuentas.
- CVE-2025-0639 (CVSS 6.5): .Esta vulnerabilidad afecta la función de vista previa de problemas, permitiendo a los atacantes causar interrupciones en el servicio a través de vistas previas de problemas especialmente diseñadas, provocando una denegación de servicio.
- CVE-2024-12244 (CVSS 4.3): Esta vulnerabilidad permite a los usuarios no autorizados acceder a nombres de ramas incluso cuando los activos del repositorio están deshabilitados, lo que podría revelar detalles sensibles del proyecto.
Productos y versiones afectadas:
- GitLab CE/EE desde 16.6 hasta 17.9.6, 17.10 hasta 17.10.4, 17.11 hasta 17.11.0.
Solución
- Actualizar a 17.9.7, 17.10.5 o 17.11.1.
Recomendaciones:
- Actualizar todas las instalaciones afectadas a las versiones 17.9.7, 17.10.5 o 17.11.1 según corresponda.
- Revisar y reforzar las políticas de seguridad de contenido (CSP) para mitigar posibles ataques XSS.
- Implementar encabezados de seguridad HTTP adecuados para prevenir la inyección de encabezados maliciosos.
- Monitorear los registros de actividad del sistema para detectar comportamientos inusuales que puedan indicar intentos de explotación.
Referencias: