Explorações de vulnerabilidades do GitLab levam à execução do pipeline de CI/CD

Recentemente, foi lançada uma atualização de segurança para uma vulnerabilidade do GitLab que, se explorada, poderia levar à à execução do pipeline de CI/CD. Além dessa vulnerabilidade do GitLab, a atualização corrigiu outras oito falhas de segurança. Neste artigo, vamos nos aprofundar nos detalhes da falha, em sua gravidade e nas consequências de uma possível exploração. Vamos começar! 

A Vulnerabilidade do GitLab revelada 

A mais recente vulnerabilidade do GitLab está sendo rastreada como CVE-2024-9164. Essa falha possui uma pontuação de gravidade de vulnerabilidade crítica (CVSS) de 9,6 em 10. Ao fornecer detalhes sobre as versões afetadas, o GitLab, em um comunicado, afirmou que:

“Foi identificada uma vulnerabilidade no GitLab EE que afeta todas as versões a partir da 12.5 até a 17.2.9, a partir da 17.3 até a 17.3.5 e a partir da 17.4 até a 17.4.2, a qual permite a execução de pipelines em branches arbitrários.”

Dada a gravidade da falha, quem deseja garantir a proteção deve compreender os pipelines de CI/CD. Dito isso, esses pipelines são, basicamente, processos automatizados que realizam uma variedade de tarefas diferentes. Essas tarefas dizem respeito à compilação, aos testes e à implantação do código.

Vale ressaltar aqui que essas tarefas estão disponíveis apenas para usuários com a permissão necessária. Um agente mal-intencionado capaz de explorar protocolos de segurança e assumir o controle dessas tarefas pode executar código e obter acesso a informações confidenciais. 

Outras falhas de segurança no GitLab 

De acordo com relatórios recentes sobre a vulnerabilidade do GitLab, foram identificadas, no total, oito falhas. Das sete que permanecem, quatro são classificadas como de gravidade alta, duas têm gravidade média e uma tem gravidade baixa. Segue abaixo uma análise detalhada da gravidade das vulnerabilidades: 

Protegendo-se contra possíveis vulnerabilidades 

No que diz respeito às práticas de segurança, os usuários devem garantir que estejam atualizados para a versão mais recente, pois isso pode ajudar a mitigar a vulnerabilidade do GitLab e garantir a proteção. Vale ressaltar que a divulgação dessa vulnerabilidade do GitLab é a mais recente adição à série de falhas no pipeline que o GitLab tem enfrentado nos últimos tempos.  

No mês passado, a empresa corrigiu outra vulnerabilidade do GitLab. Essa falha foi identificada como CVE-2024-6678 e apresentava um CVSS de 9,9. Caso fosse explorada, os agentes mal-intencionados teriam sido capazes de executar tarefas do pipeline como um usuário arbitrário. Antes dessa vulnerabilidade do GitLab, outras três falhas críticas foram corrigidas. Essas falhas incluíram: 

• CVE-2023-5009  
  • Pontuação CVSS: 9,6.
• CVE-2024-5655 
  • Pontuação CVSS: 9,6.
• CVE-2024-6385
  •  Pontuação CVSS: 9,6.

Conclusão 

Para se proteger contra a vulnerabilidade crítica vulnerabilidade do GitLab e outras, é essencial manter-se atualizado com as versões mais recentes. Explorações de pipelines de CI/CD podem ter consequências graves, permitindo acesso e controle não autorizados. Atualizações regulares e medidas de segurança vigilantes são a chave para mitigar possíveis ameaças à segurança no GitLab.

As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e Bleeping Computer.