GitLab ha lanzado una actualización de seguridad crítica para múltiples versiones de sus productos Community y Enterprise Edition para abordar ocho vulnerabilidades, una de las cuales permite la apropiación de cuentas.
GitLab es un repositorio de Git basado en la web para equipos de desarrolladores que necesitan administrar su código de forma remota. Tiene aproximadamente 30 millones de usuarios registrados y un millón de clientes de pago.
Obtener el control de una cuenta de GitLab tiene graves consecuencias, ya que los piratas informáticos podrían obtener acceso a los proyectos de los desarrolladores y robar el código fuente.
Registrada como CVE-2022-1680 y clasificada con una puntuación de gravedad crítica de 9,9, la vulnerabilidad afecta a todas las versiones de GitLab 11.10 a 14.9.4, 14.10 a 14.10.3 y versión 15.0.
Según el aviso de la compañía, es posible explotar la falla en instancias con una configuración específica, y el potencial de abuso se reduce por la presencia de autenticación de dos factores (2FA) en cuentas específicas.
«Cuando se configura el SSO SAML grupal, la función SCIM puede permitir que cualquier propietario de un grupo Premium invite a usuarios arbitrarios a través de su nombre de usuario y correo electrónico, luego cambie las direcciones de correo electrónico de esos usuarios a través de SCIM a una dirección de correo electrónico controlada por un atacante y, por lo tanto, en el ausencia de 2FA: hacerse cargo de esas cuentas. También es posible que el atacante cambie el nombre para mostrar y el nombre de usuario de la cuenta objetivo». – GitLab
Reparación y remediación
El problema se solucionó con actualizaciones de seguridad para todas las sucursales afectadas. Todos los usuarios de GitLab deben pasar a las últimas versiones disponibles lo antes posible.
Para obtener instrucciones sobre cómo actualizar GitLab, visite este portal . Para GitLab Runner, puede usar este repositorio.
Además, para verificar si la protección de acceso del Lenguaje de marcado de aserción de seguridad (SAML) está activa, los administradores pueden revisar esta página web de instrucciones que contiene orientación sobre cómo configurar esta funcionalidad en la política deseada.
Vulnerabilidades de alta gravedad
Las actualizaciones de seguridad contienen correcciones para dos fallas más de alta gravedad. El primero es un problema de secuencias de comandos entre sitios (XSS) en el componente de integración de Jira rastreado como CVE-2022-1940; viene con una calificación de gravedad de 7.7.
El segundo es una validación faltante de la entrada que permite la inyección de HTML en los detalles de la lista de contactos y permite ataques XSS. Se rastrea como CVE-2022-1948 y tiene una calificación de gravedad de 8.7.
Las cinco vulnerabilidades restantes son problemas de omisión de lista de IP permitida, autorización incorrecta en el terminal web y acceso inadecuado de miembros del grupo y omisión de bloqueo.
Fuente: https://www.bleepingcomputer.com
