Allarme alla Supply Chain: GitLab Rilascia Aggiornamenti per risolvere dei bug critici. Uno è zeroclick con score 10

Redazione RHC : 15 Gennaio 2024 10:36

GitLab ha rilasciato aggiornamenti di sicurezza sia per la versione Community che per quella Enterprise per risolvere una serie di vulnerabilità critiche. Gli sviluppatori consigliano di aggiornare tutte le versioni vulnerabili della piattaforma DevSecOps.

Il problema di sicurezza più critico risolto da GitLab ha un livello di gravità massimo (10 su 10 sulla scala CVSS) ed è tracciato con l’ID CVE-2023-7028. Si tratta di una vulnerabilità Zero-Click. Il suo sfruttamento non richiede quindi l’interazione dell’utente.

Il problema risiede nel processo di autenticazione e consente agli aggressori di inviare richieste di reimpostazione della password a indirizzi e-mail arbitrari e non verificati. Questo porta alla successiva acquisizione dell’account. Se sul tuo account è abilitata l’autenticazione a due fattori (2FA ), puoi reimpostare la password. Dovrai comunque superare il secondo fattore di autenticazione per accedere correttamente.

Sei un Esperto di Formazione?
Entra anche tu nel Partner program!
Accedi alla sezione riservata ai Creator sulla nostra Academy e scopri i vantaggi riservati ai membri del Partner program.
Per ulteriori informazioni, scrivici ad [email protected] oppure su Whatsapp al 379 163 8765 

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

L’acquisizione di un account GitLab può avere un grave impatto su un’organizzazione poiché la piattaforma viene generalmente utilizzata per archiviare codice. Un altro rischio sono gli attacchi alla catena di fornitura (o supply chain). Gli aggressori possono compromettere i repository inserendo codice dannoso negli ambienti di produzione.

La vulnerabilità è stata scoperta dal ricercatore di sicurezza di nome Asterion. Secondo lui, è stata introdotta sulla piattaforma il primo di maggio 2023 con la versione 16.1.0.

Sono interessate le seguenti versioni:

• da 16.1 a 16.1.5
• da 16.2 a 16.2.8
• da 16.3 a 16.3.6
• da 16.4 a 16.4.4
• da 16.5 a 16.5.6
• da 16.6 a 16.6.4
• da 16.7 a 16.7.2

Il problema è stato risolto nelle versioni GitLab 16.7.2, 16.5.6 e 16.6.4 ed è stato riportato anche alle versioni 16.1.6, 16.2.9 e 16.3.7.

GitLab riferisce di non aver rilevato alcun caso di sfruttamento attivo di CVE-2023-7028. Tuttavia, per ogni evenienza, ha fornito una serie di indicatori di compromissione nel suo bollettino sulla sicurezza .

Il secondo problema critico è identificato come CVE-2023-5356 e ha un punteggio di gravità di 9,6 su 10. Gli aggressori possono usarlo per abusare delle integrazioni Slack / Mattermost eseguendo comandi slash come un altro utente.

Anche i seguenti difetti di sicurezza sono stati corretti in GitLab 16.7.2:

• CVE-2023-4812 . Una vulnerabilità di alto livello in GitLab 15.3 e versioni successive che consente di aggirare l’approvazione di CODEOWNERS eseguendo modifiche a una richiesta di unione precedentemente approvata;
• CVE-2023-6955 . Controllo dell’accesso errato in GitLab prima della versione 16.7.2, consentendo agli aggressori di creare un gruppo associato a un agente in un altro gruppo;
• CVE-2023-2030 . Un problema di verifica della firma del commit che interessa GitLab CE/EE versioni 12.2 e successive.

Le istruzioni e le risorse ufficiali per l’aggiornamento possono essere trovate nella pagina degli aggiornamenti di GitLab. E per Gitlab Runner, visita la seguente pagina web .

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.