GitLab ha rilasciato aggiornamenti di sicurezza per entrambe le edizioni, Community e Enterprise, per affrontare due vulnerabilità critiche. Una di queste permette il dirottamento dell’account senza alcuna interazione da parte dell’utente. Il fornitore raccomanda vivamente di aggiornare tutte le versioni vulnerabili della piattaforma DevSecOps (aggiornamento manuale richiesto per installazioni self-hosted) e avverte che se non viene menzionato un “specifico tipo di distribuzione (omnibus, codice sorgente, grafico helm, ecc.) di un prodotto, significa che tutti i tipi sono interessati”.
Dettagli della Vulnerabilità
La questione di sicurezza più critica risolta da GitLab ha il massimo punteggio di gravità (10 su 10) ed è tracciata come CVE-2023-7028. L’exploit non richiede alcuna interazione. Si tratta di un problema di autenticazione che permette l’invio di richieste di reimpostazione della password a indirizzi email arbitrari e non verificati, consentendo così il dirottamento dell’account. Se è attiva l’autenticazione a due fattori (2FA), è possibile reimpostare la password, ma è comunque necessario il secondo fattore di autenticazione per un login riuscito. Il dirottamento di un account GitLab può avere un impatto significativo su un’organizzazione, poiché la piattaforma è tipicamente utilizzata per ospitare codice proprietario, chiavi API e altri dati sensibili.
Altre Vulnerabilità Critiche
Oltre a CVE-2023-7028, GitLab ha risolto un secondo problema critico identificato come CVE-2023-5356, con un punteggio di gravità di 9,6 su 10. Un attaccante potrebbe sfruttarlo per abusare delle integrazioni Slack/Mattermost per eseguire comandi slash come un altro utente.
Aggiornamenti e Raccomandazioni
Le versioni interessate da queste vulnerabilità includono GitLab 16.1 prima della 16.1.5, 16.2 prima della 16.2.8, 16.3 prima della 16.3.6, 16.4 prima della 16.4.4, 16.5 prima della 16.5.6, 16.6 prima della 16.6.4 e 16.7 prima della 16.7.2. I difetti sono stati corretti nelle versioni 16.7.2, 16.5.6 e 16.6.4 di GitLab, e la correzione è stata anche retroportata alle versioni 16.1.6, 16.2.9 e 16.3.7. GitLab non ha rilevato casi di sfruttamento attivo di CVE-2023-7028 ma ha condiviso segni di compromissione per i difensori.
Queste vulnerabilità critiche di GitLab richiedono attenzione immediata e un’azione tempestiva per garantire la sicurezza delle installazioni. Gli aggiornamenti recenti sottolineano l’importanza di mantenere le piattaforme software aggiornate per proteggersi dalle minacce emergenti.