GitLab ha publicado nuevas actualizaciones para 8 vulnerabilidades críticas, que permitirían a un atacante cambiar el nombre y el usuario de la cuenta víctima mediante ejecución remota de código (RCE).
Las vulnerabilidades reportadas se componen de 1 (una) de severidad “Crítica”, 2 (dos) de severidad “Alta”, 4 (cuatro) de severidad “Media” y 1 (una) de severidad “Baja”. Las principales se detallan a continuación:
- CVE-2022-1680, con severidad “Crítica” y puntuación asignada de 9.9. Esta vulnerabilidad se debe a un problema de adquisición de cuentas en GitLab EE que afecta a todas las versiones a partir de 11.10 antes de 14.9.5, todas las versiones a partir de 14.10 antes de 14.10.4, todas las versiones a partir de 15.0 antes de 15.0.1. Esto permite a un atacante invitar a usuarios arbitrarios a través de su nombre de usuario y correo electrónico, luego cambiar las direcciones de correo electrónico de esos usuarios a través de SCIM (disponible solo en suscripciones Premium+) a una dirección de correo electrónico completamente controlada, también es posible que el atacante cambie el nombre para mostrar y el nombre de usuario de la cuenta víctima.
- CVE-2022-1948, con severidad “Alta” y puntuación asignada de 8.7. Esta vulnerabilidad se debe a un problema en GitLab que afecta a todas las versiones a partir de 15.0. anteriores a 15.0.1. La falta de validación de la entrada utilizada en las acciones rápidas permitiría a un atacante explotar XSS inyectando HTML en los detalles de contacto.
- CVE-2022-1940, con severidad “Alta” y puntuación asignada de 7.7. Esta vulnerabilidad se debe a un problema de Stored Cross-Site Scripting en la integración de Jira en GitLab EE que afecta a todas las versiones de 13.11 anteriores a 14.9.5, 14.10 anterior a 14.10.4 y 15.0 anteriores a 15.0.1. Un atacante podría ejecutar código JavaScript arbitrario en GitLab en nombre de una víctima a través de problemas de XSS almacenado en la integración de Jira.
Puede acceder al listado completo de las vulnerabilidades aquí
Las versiones de los productos afectados de GitLab son:
- Versiones anteriores a 15.0.1, 14.10.4 y 14.9.5
Recomendamos adicionalmente actualizar los productos accediendo a los siguientes enlaces provistos por GitLab:
Referencias:
- https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/multiples-vulnerabilidades-gitlab-0
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-1680
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-1940
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-1948
- https://about.gitlab.com/releases/2022/06/01/critical-security-release-gitlab-15-0-1-released/
- https://about.gitlab.com/update/
- https://docs.gitlab.com/runner/install/linux-repository.html#updating-the-runner