Allarme alla Supply Chain: GitLab Rilascia Aggiornamenti per risolvere dei bug critici. Uno è zeroclick con score 10

GitLab ha rilasciato aggiornamenti di sicurezza sia per la versione Community che per quella Enterprise per risolvere una serie di vulnerabilità critiche. Gli sviluppatori consigliano di aggiornare tutte le versioni vulnerabili della piattaforma DevSecOps.

Il problema di sicurezza più critico risolto da GitLab ha un livello di gravità massimo (10 su 10 sulla scala CVSS) ed è tracciato con l’ID CVE-2023-7028. Si tratta di una vulnerabilità Zero-Click. Il suo sfruttamento non richiede quindi l’interazione dell’utente.

Il problema risiede nel processo di autenticazione e consente agli aggressori di inviare richieste di reimpostazione della password a indirizzi e-mail arbitrari e non verificati. Questo porta alla successiva acquisizione dell’account. Se sul tuo account è abilitata l’autenticazione a due fattori (2FA ), puoi reimpostare la password. Dovrai comunque superare il secondo fattore di autenticazione per accedere correttamente.

L’acquisizione di un account GitLab può avere un grave impatto su un’organizzazione poiché la piattaforma viene generalmente utilizzata per archiviare codice. Un altro rischio sono gli attacchi alla catena di fornitura (o supply chain). Gli aggressori possono compromettere i repository inserendo codice dannoso negli ambienti di produzione.

La vulnerabilità è stata scoperta dal ricercatore di sicurezza di nome Asterion. Secondo lui, è stata introdotta sulla piattaforma il primo di maggio 2023 con la versione 16.1.0.

Sono interessate le seguenti versioni:

• da 16.1 a 16.1.5
• da 16.2 a 16.2.8
• da 16.3 a 16.3.6
• da 16.4 a 16.4.4
• da 16.5 a 16.5.6
• da 16.6 a 16.6.4
• da 16.7 a 16.7.2

Il problema è stato risolto nelle versioni GitLab 16.7.2, 16.5.6 e 16.6.4 ed è stato riportato anche alle versioni 16.1.6, 16.2.9 e 16.3.7.

GitLab riferisce di non aver rilevato alcun caso di sfruttamento attivo di CVE-2023-7028. Tuttavia, per ogni evenienza, ha fornito una serie di indicatori di compromissione nel suo bollettino sulla sicurezza .

Il secondo problema critico è identificato come CVE-2023-5356 e ha un punteggio di gravità di 9,6 su 10. Gli aggressori possono usarlo per abusare delle integrazioni Slack / Mattermost eseguendo comandi slash come un altro utente.

Anche i seguenti difetti di sicurezza sono stati corretti in GitLab 16.7.2:

• CVE-2023-4812 . Una vulnerabilità di alto livello in GitLab 15.3 e versioni successive che consente di aggirare l’approvazione di CODEOWNERS eseguendo modifiche a una richiesta di unione precedentemente approvata;
• CVE-2023-6955 . Controllo dell’accesso errato in GitLab prima della versione 16.7.2, consentendo agli aggressori di creare un gruppo associato a un agente in un altro gruppo;
• CVE-2023-2030 . Un problema di verifica della firma del commit che interessa GitLab CE/EE versioni 12.2 e successive.

Le istruzioni e le risorse ufficiali per l’aggiornamento possono essere trovate nella pagina degli aggiornamenti di GitLab. E per Gitlab Runner, visita la seguente pagina web .

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks