Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
O GitLab lançou recentemente patches importantes para corrigir uma vulnerabilidade crítica de segurança que afeta tanto a Community Edition (CE) quanto a Enterprise Edition (EE). A falha, identificada como CVE-2024-0402, possui uma pontuação CVSS de 9,9 em 10 e poderia permitir que invasores gravassem arquivos arbitrários ao criar um espaço de trabalho.
O GitLab divulgou em um comunicado que a vulnerabilidade afeta todas as versões a partir da 16.0 até antes da 16.5.8, da 16.6 até antes da 16.6.6, da 16.7 até antes da 16.7.4 e da 16.8 até antes da 16.8.1 nas edições CE/EE. Essa falha permite que usuários autenticados gravem arquivos em locais arbitrários no servidor do GitLab durante a criação de um espaço de trabalho. A empresa também aplicou retroativamente os patches para esse problema nas versões 16.5.8, 16.6.6, 16.7.4 e 16.8.1. No entanto, o GitLab 16.5.8 não inclui nenhuma outra correção além dessa vulnerabilidade.
Outras vulnerabilidades de segurança corrigidas no GitLab
Além de corrigir a vulnerabilidade crítica, esta atualização de segurança também resolveu quatro falhas de gravidade média no GitLab. Entre elas estão:
CVE-2023-6159 (Pontuação de gravidade CVSS: 6,5 – Média)
Foi identificada uma vulnerabilidade nas versões 12.7 a 16.6.6, 16.7 a 16.7.4 e 16.8 a 16.8.1 do GitLab CE/EE. Os invasores poderiam explorar essa vulnerabilidade utilizando uma entrada criada de forma maliciosa em um arquivo Cargo.toml, levando a um ataque de negação de serviço por expressão regular.
CVE-2023-5933 (Pontuação de gravidade CVSS: 6,4 – Média)
Foi identificada uma vulnerabilidade nas versões do GitLab CE/EE de 13.7 a 16.6.6, de 16.7 a 16.7.4 e de 16.8 a 16.8.1. A sanitização inadequada dos nomes de usuário permite que sejam enviadas solicitações PUT arbitrárias à API.
CVE-2023-5612 (Pontuação de gravidade CVSS: 5,3 – Média)
Foi identificada uma vulnerabilidade no GitLab em todas as versões anteriores à 16.6.6, na versão 16.7 anterior à 16.7.4 e na versão 16.8 anterior à 16.8.1. Apesar de a visibilidade do e-mail no perfil do usuário estar desativada, ainda era possível acessar os endereços de e-mail dos usuários por meio do feed de tags.
CVE-2024-0456 (Pontuação de gravidade CVSS: 4,3 – Média)
Foi identificada uma vulnerabilidade de autorização nas versões do GitLab que vão de 14.0 a 16.6.6, de 16.7 a 16.7.4 e de 16.8 a 16.8.1. Isso permite que invasores não autorizados atribuam usuários arbitrários a solicitações de fusão (MRs) que eles mesmos criaram dentro do projeto.
Conclusão
Esta última atualização de segurança do GitLab foi lançada apenas duas semanas depois que o GitLab corrigiu duas vulnerabilidades críticas, uma das quais poderia ser explorada para assumir o controle de contas sem qualquer interação do usuário (CVE-2023-7028, pontuação CVSS: 10,0). Para mitigar riscos potenciais, recomenda-se enfaticamente que os usuários atualizem suas instalações do GitLab para as versões corrigidas o mais rápido possível.
As fontes deste artigo incluem uma matéria do TheHackerNews e do GitLab Releases.
