Para evitar que invasores assumam o controle de contas, o GitLab corrigiu uma vulnerabilidade de alta gravidade rastreada como CVE-2024-4835.
O GitLab corrigiu uma vulnerabilidade de alta gravidade que invasores não autenticados poderiam explorar para assumir o controle de contas de usuários em ataques de script entre sites (XSS).
GitLab corrigiu uma vulnerabilidade de alta gravidade
A falha de segurança (rastreada como CVE-2024-4835) é uma fraqueza do XSS no editor de código VS (Web IDE) que permite que os agentes de ameaças roubem informações restritas usando páginas criadas com códigos maliciosos.
Embora possam explorar esta vulnerabilidade em ataques que não requerem autenticação, a interação do utilizador ainda é necessária, aumentando a complexidade dos ataques.
o GitLab disse que:
“Hoje, estamos lançando as versões 17.0.1, 16.11.3 e 16.10.6 para GitLab Community Edition (CE) e Enterprise Edition (EE). Essas versões contêm bugs importantes e correções de segurança, e recomendamos fortemente que todas as instalações do GitLab sejam atualizadas para uma dessas versões imediatamente.”
Na quarta-feira (22/05), a empresa também corrigiu seis outras falhas de segurança de gravidade média, incluindo uma falsificação de solicitação entre sites (CSRF) por meio do servidor de agente Kubernetes (CVE-2023-7045) e um bug de negação de serviço que pode permitir que invasores interrompam o carregamento de recursos da web GitLab (CVE-2024-2874).
| Vulnerabilidade | Gravidade |
|---|---|
| Controle de conta com 1 clique via XSS aproveitando o editor de código VS (Web IDE) | Alto |
| Uma vulnerabilidade do DOS no campo ‘descrição’ do executor | Médio |
| CSRF via integração de cluster K8s | Médio |
| Usar Set Pipeline Status de uma API Commit cria incorretamente um novo pipeline | Médio |
| Refazer na API/página de renderização do wiki | Médio |
| Esgotamento de recursos e negação de serviço com chamadas de API test_report | Médio |
| O usuário convidado pode visualizar listas de dependências de projetos privados por meio de artefatos de trabalho | Médio |
Bug de sequestro de conta mais antigo explorado ativamente em ataques
GitLab é um alvo popular porque é conhecido por hospedar vários tipos de dados confidenciais, incluindo chaves de API e código proprietário.
Conseqüentemente, contas GitLab sequestradas podem ter um impacto significativo, incluindo ataques à cadeia de suprimentos, se os invasores inserirem código malicioso em ambientes CI/CD (Integração Contínua/Implantação Contínua), comprometendo os repositórios de uma organização.
Como a CISA alertou no início deste mês, os agentes de ameaças agora estão explorando ativamente outra vulnerabilidade de sequestro de conta sem clique corrigida pelo GitLab em janeiro.
Rastreada como CVE-2023-7028, esta falha de segurança de gravidade máxima permite que invasores não autenticados assumam contas do GitLab por meio de redefinições de senha.
Embora o Shadowserver tenha descoberto mais de 5.300 instâncias vulneráveis do GitLab expostas online em janeiro, menos da metade (2.084) ainda estão acessíveis no momento.
A CISA adicionou a CVE-2023-7028 ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas em 1º de maio, ordenando que as agências federais dos EUA protegessem seus sistemas dentro de três semanas até 22 de maio.
