Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Ir directamente al resumen generado por IA de esta entrada del blog 
Recientemente se ha publicado una actualización de seguridad para una vulnerabilidad de GitLab que, si se explota, podría llevar a la la ejecución de tuberías CI/CD. Además de esta vulnerabilidad de GitLabla actualización aborda otros ocho fallos de seguridad. En este artículo, nos sumergiremos en los detalles del fallo, su gravedad y las consecuencias de un posible exploit. Comencemos.
El Vulnerabilidad de GitLab Descubierta
La vulnerabilidad más reciente de vulnerabilidad de GitLab está siendo rastreada como CVE-2024-9164. Este fallo tiene una puntuación de gravedad de vulnerabilidad crítica (CVSS) de 9,6 sobre 10. Al proporcionar detalles sobre las versiones afectadas, GitLab, en un aviso, ha declarado que:
"Se ha descubierto un problema en GitLab EE que afecta a todas las versiones a partir de la 12.5 anterior a la 17.2.9, a partir de la 17.3, anterior a la 17.3.5, y a partir de la 17.4 anterior a la 17.4.2, que permite ejecutar pipelines en ramas arbitrarias."
Dada la gravedad del fallo, los interesados en garantizar la protección deben comprender las canalizaciones CI/CD. Dicho esto, estos canales son básicamente procesos automatizados que realizan una variedad de tareas diferentes. Estas tareas se refieren a la creación de código, las pruebas y el despliegue.
Vale la pena mencionar aquí que estas tareas sólo están disponibles para usuarios con el permiso necesario. Un actor de amenazas capaz de explotar los protocolos de seguridad y tomar el control de dichas tareas puede ejecutar código y obtener acceso a información sensible.
Otros fallos de seguridad de GitLab
Según informes recientes sobre la vulnerabilidad de GitLabse han identificado un total de ocho fallos. De los siete que quedan, cuatro están clasificados como de gravedad alta, dos de gravedad media y uno de gravedad baja. A continuación se ofrece un desglose detallado de las vulnerabilidades de gravedad:
| Vulnerabilidad | Puntuación CVSS | Propósito |
| 8970 | 8.2 | Permite a los atacantes activar una tubería como otro usuario en circunstancias específicas. |
| 8977 | 8.2 | Permite ataques SSRF en instancias de GitLab EE en las que el panel de análisis de productos está configurado y habilitado. |
| 9631 | 7.5 | Se ralentiza la visualización de las solicitudes de fusión con conflictos. |
| 6530 | 7.3 | Provoca una inyección HTML en la página OAuth al autorizar una nueva aplicación. |
Seguridad frente a posibles ataques
En cuanto a las prácticas de seguridad, los usuarios deben asegurarse de que están actualizados a la última versión, ya que puede ayudar a mitigar la vulnerabilidad de GitLab y garantizar la protección. Cabe mencionar que la divulgación de esta vulnerabilidad de GitLab es la última adición a los fallos de canalización que GitLab ha experimentado en los últimos tiempos.
La empresa, el mes pasado, solucionó otra vulnerabilidad de GitLab. Ese fallo se registró con el identificador CVE-2024-6678 y tenía una puntuación CVSS de 9,9. En caso de que se hubiera explotado, los atacantes habrían podido ejecutar tareas del pipeline como cualquier usuario. Antes de esta vulnerabilidad de GitLab, se solucionaron otros tres fallos críticos. Entre ellos se encontraban:
- 5009
- Puntuación CVSS: 9,6.
- 5655
- Puntuación CVSS: 9,6.
- 6385
- Puntuación CVSS: 9,6.
Conclusión
Para protegerse de la vulnerabilidad crítica vulnerabilidad de GitLab y otras, es esencial mantenerse actualizado con las últimas versiones. Los exploits de las canalizaciones CI/CD pueden tener graves consecuencias, permitiendo el acceso y control no autorizados. Las actualizaciones periódicas y medidas de seguridad vigilantes son la clave para mitigar las posibles amenazas a la seguridad en GitLab.
Las fuentes de este artículo incluyen artículos en The Hacker News y Bleeping Computer.