GitLab ha lanzado las versiones 17.5.2, 17.4.4 y 17.3.7 de GitLab Community Edition (CE) y Enterprise Edition (EE) como parte de su programa de actualizaciones de seguridad. Estas versiones contienen importantes correcciones de errores y vulnerabilidades de seguridad, y se recomienda encarecidamente a todas las instalaciones de GitLab autogestionadas que actualicen de inmediato. La versión ya está implementada en GitLab.com, y los clientes de GitLab Dedicated no requieren realizar ninguna acción adicional.
- CVE-2024-9693 (CVSS 8.5): Se identificó una vulnerabilidad de acceso no autorizado al agente de Kubernetes, que afecta a todas las versiones desde la 16.0 hasta la 17.3.6, desde la 17.4 hasta la 17.4.3, y desde la 17.5 hasta la 17.5.1 en GitLab CE/EE. Esta falla podría permitir el acceso no autorizado al agente de Kubernetes en ciertas configuraciones.
- CVE-2024-7404 (CVSS 6.8): Una vulnerabilidad en el flujo OAuth de dispositivos fue detectada en GitLab CE/EE, afectando a todas las versiones desde la 17.2 hasta la 17.3.6, desde la 17.4 hasta la 17.4.3 y desde la 17.5 hasta la 17.5.1. Esta vulnerabilidad podría permitir a un atacante obtener acceso completo a la API como si fuera la víctima.
- CVE-2024-XXXX (CVSS 6.5): Una vulnerabilidad de denegación de servicio (DoS) fue identificada en el proceso de importación de contenido mediante el importador de FogBugz en todas las versiones desde la 7.14.1 hasta la 17.3.6, la 17.4 hasta la 17.4.3 y desde la 17.5 hasta la 17.5.1 en GitLab CE/EE. Esto podría provocar una denegación de servicio al importar contenido malicioso.
- CVE-2024-8648 (CVSS 6.1): Se descubrió una vulnerabilidad de ejecución de código a través de XSS en los paneles de análisis mediante URLs de JavaScript especialmente creadas en todas las versiones desde la 16.0 hasta la 17.3.6, la 17.4 hasta la 17.4.3 y desde la 17.5 hasta la 17.5.1 en GitLab CE/EE.
- CVE-2024-8180 (CVSS 5.4): Una inyección de HTML en el flujo de código de vulnerabilidad podría permitir XSS en instancias autogestionadas si no está habilitado CSP en todas las versiones desde la 17.3 hasta la 17.3.6, la 17.4 hasta la 17.4.3 y desde la 17.5 hasta la 17.5.1 en GitLab CE/EE.
- CVE-2024-10240 (CVSS 5.3): Una vulnerabilidad en un endpoint de la API en GitLab EE permite la posible divulgación de información a usuarios no autenticados sobre MR en proyectos privados, bajo ciertas circunstancias, en todas las versiones desde la 17.3 hasta la 17.3.6, la 17.4 hasta la 17.4.3 y desde la 17.5 hasta la 17.5.1.
| CVE | Productos afectados | Versiones afectadas | Solución |
| CVE-2024-9693 | GitLab CE/EE | Todas las versiones desde la 16.0 hasta la 17.3.6, desde la 17.4 hasta la 17.4.3 y desde la 17.5 hasta la 17.5.1. | Actualizar GitLab a las versiones 17.5.2, 17.4.4 o 17.3.7, según corresponda |
| CVE-2024-7404 | GitLab CE/EE | Todas las versiones desde la 17.2 hasta la 17.3.6, desde la 17.4 hasta la 17.4.3 y desde la 17.5 hasta la 17.5.1. | |
| CVE-2024-XXXX | GitLab CE/EE | Todas las versiones desde la 7.14.1 hasta la 17.3.6, la 17.4 hasta la 17.4.3 y la 17.5 hasta la 17.5.1. | |
| CVE-2024-8648 | GitLab CE/EE | Todas las versiones desde la 16 hasta la 17.3.6, la 17.4 hasta la 17.4.3 y la 17.5 hasta la 17.5.1. | |
| CVE-2024-8180 | GitLab CE/EE | Todas las versiones desde la 17.3 hasta la 17.3.6, la 17.4 hasta la 17.4.3 y la 17.5 hasta la 17.5.1. | |
| CVE-2024-10240 | GitLab EE | Todas las versiones desde la 17.3 hasta la 17.3.6, todas las versiones desde la 17.4 hasta la 17.4.3 y todas las versiones desde la 17.5 hasta la 17.5.1. |
Recomendaciones
- Actualizar a la última versión de GitLab disponible para asegurar la protección contra estas vulnerabilidades.
- Configurar y revisar regularmente las políticas de acceso y seguridad en Kubernetes y OAuth.
- Implementar las prácticas de seguridad recomendadas en la documentación de GitLab para proteger las instancias autogestionadas.
Referencias :