Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
O GitLab lançou recentemente atualizações críticas de segurança com o objetivo de melhorar a segurança de seu repositório de código-fonte aberto amplamente utilizado e de sua plataforma colaborativa de desenvolvimento de software DevOps. Essas correções de segurança do GitLab têm como objetivo corrigir uma vulnerabilidade que poderia expor as empresas a ameaças de segurança. Neste blog, vamos abordar as mais recentes melhorias de segurança do GitLab e a importância de se manter atualizado no campo da segurança cibernética, que está em constante evolução.
Revelando a vulnerabilidade
A equipe de segurança do GitLab descobriu e corrigiu uma falha grave que, se explorada, poderia permitir que invasores obtivessem acesso não autorizado aos privilégios de um usuário. Essa falha foi causada por políticas de verificação de segurança que poderiam ser modificadas por hackers. Essencialmente, os invasores poderiam se passar por usuários legítimos, possibilitando atividades não autorizadas no ambiente do GitLab. Obter acesso a dados confidenciais, modificar código e até mesmo iniciar ataques à cadeia de suprimentos de software são exemplos dessas operações. Trata-se de uma grande risco à integridade dos dados, à segurança do códigoe à continuidade geral dos negócios.
A resposta rápida do GitLab
O GitLab lançou rapidamente duas versões revisadas para corrigir essa possível falha de segurança: 16.3.4 e 16.2.7, que atendem tanto à edição Community quanto à Enterprise. Essas atualizações não apenas corrigem as falhas de segurança relatadas, mas também funcionam como uma medida preventiva para proteger os usuários do GitLab contra possíveis ameaças. O GitLab recomenda enfaticamente que todos os usuários atualizem imediatamente suas instalações para uma dessas versões, como parte das melhores práticas de segurança, a fim de garantir que seu ambiente de DevOps permaneça seguro.
De gravidade média a crítica
Johann Carlsson, popularmente conhecido como “joaxcar”, que desempenhou um papel fundamental na identificação da vulnerabilidade, tornou essa descoberta possível. Carlsson, pesquisador de segurança e caçador de bugs, descobriu a vulnerabilidade enquanto trabalhava com programa de caça a bugs HackerOne da GitLab. Essas iniciativas colaborativas correções de vulnerabilidades do GitLab são essenciais para identificar e mitigar possíveis problemas antes que sejam explorados por criminosos.
Vale destacar que essa vulnerabilidade mais recente, CVE-2023-5009, apresenta uma pontuação de gravidade crítica muito mais alta, de 9,6, quando comparada a um problema anterior, o CVE-2023-3932, com um nível de gravidade CVSS médio de 5,3. O aumento significativo na gravidade ressalta o possível impacto dessa falha de segurança sobre os usuários do GitLab.
Compreendendo a ameaça
De acordo com Alex Ilgayev, chefe de pesquisa de segurança da Cycode, a exploração da vulnerabilidade atual permite que um invasor utilize a ferramenta de política de execução de varreduras do GitLab. Os usuários podem configurar varredores integrados para projetos do GitLab, como análise estática e verificação de vulnerabilidades, utilizando esse recurso. Esses scanners operam dentro de pipelines específicos e possuem permissões predefinidas.
A vulnerabilidade anterior permitia que agentes mal-intencionados se passassem pelo autor do arquivo de política, assumissem o controle das permissões do pipeline e acessassem os repositórios privados de qualquer usuário. Os invasores podiam, essencialmente, assumir as permissões de usuários arbitrários alterando o autor do arquivo de política por meio do comando ‘git config’. Atualizações de segurança do GitLab foram disponibilizadas pelo GitLab, permitindo que varreduras de segurança sejam realizadas por um usuário-bot dedicado com permissões restritas.
Desvendando o desvio
Embora o GitLab não tenha divulgado formalmente essa forma de contornar a vulnerabilidade, Ilgayev afirma que é necessário remover o usuário-bot do grupo, o que permite que o fluxo da vulnerabilidade anterior seja executado. Essa observação destaca as complexidades de lidar com essas questões de segurança e mitigá-las, bem como a importância de testes de segurança abrangentes.
Correções de segurança do GitLab: instâncias vulneráveis do GitLab
É fundamental entender quais instâncias do GitLab estão vulneráveis a abusos. Se os recursos de transferências diretas e políticas de segurança estiverem ativados ao mesmo tempo na sua instância do GitLab, ela estará vulnerável. Isso se aplica a qualquer versão a partir da 13.12 até a 16.2.7, inclusive, ou a qualquer versão a partir da 16.3 até a 16.3.4, inclusive. Nick Malcom, engenheiro sênior de segurança do GitLab, deu uma dica útil ao sugerir que desativar um ou ambos esses recursos pode mitigar o problema em instâncias em que a atualização não seja viável imediatamente.
Priorizando a segurança no DevOps
A segurança nunca deve ficar em segundo plano no mundo dinâmico do DevOps, onde a integração e a implantação contínuas são o padrão. A estratégia proativa do GitLab para identificar e mitigar vulnerabilidades no software do GitLab demonstra a importância da segurança cibernética no desenvolvimento de software moderno. Para proteger sua organização contra possíveis ameaças e vulnerabilidades, é fundamental manter-se informado e agir rapidamente quando forem lançadas atualizações de segurança.
Conclusão
Por fim, o lançamento do patch do GitLab serve como um forte lembrete de que a segurança cibernética é um esforço contínuo. As organizações podem minimizar o risco de violações de segurança e garantir a integridade de seu ambiente de DevOps aplicando correções em tempo hábil e mantendo-se alertas. Em uma época em que ativos digitais e dados confidenciais estão em primeiro plano, investir em medidas eficazes de segurança cibernética não é apenas uma prática recomendada; é uma exigência.
As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e GitLab.
