Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

GitLab Rilascia Aggiornamenti Urgenti: Patch con Score 9.9 per Bug Critico nelle Pipeline

Redazione RHC : 13 Settembre 2024 17:22

Gli sviluppatori di GitLab hanno rilasciato patch per risolvere diverse vulnerabilità, come il CVE-2024-6678 che in determinate condizioni consente a un utente malintenzionato di eseguire pipeline come qualsiasi utente. Sono stati risolti un totale di 18 problemi nelle versioni 17.3.2, 17.2.5 e 17.1.7 di GitLab Community Edition (CE) ed Enterprise Edition (EE).

La vulnerabilità menzionata sopra, CVE-2024-6678, ha ricevuto un punteggio CVSS di 9,9 su 10. La criticità del problema è dovuta alla possibilità del suo sfruttamento remoto, alla mancanza di necessità di interazione da parte dell’utente, nonché al basso livello di privilegi richiesti per utilizzare il bug. GitLab avverte che il problema riguarda le versioni CE/EE dalla 8.14 alla 17.1.7, le versioni dalla 17.2 alla 17.2.5 e le versioni dalla 17.3 alla 17.3.2 e consiglia di installare gli aggiornamenti il ​​prima possibile.

Le pipeline GitLab fanno parte di un sistema di integrazione continua/distribuzione continua (CI/CD) che consente agli utenti di eseguire automaticamente processi e attività in parallelo o in sequenza per creare, testare o distribuire modifiche al codice. Sono stati creati per semplificare il processo di sviluppo automatizzando le attività ripetitive e garantendo test e distribuzione coerenti delle modifiche alla base di codice.

Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)

Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.

La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.

Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765


Supporta RHC attraverso:


Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Vale la pena notare che questa non è la prima volta negli ultimi mesi che GitLab risolve bug relativi alle pipeline. Pertanto, nel luglio 2024, è stato risolto il problema critico CVE-2024-6385 e a giugno il CVE-2024-5655 .

Anche questo mese, gli sviluppatori di GitLab hanno rilasciato patch per altre vulnerabilità. Quattro di questi problemi, valutati tra 6,7 ​​e 8,5 sulla scala CVSS, sono elencati di seguito. Consentono potenzialmente a un utente malintenzionato di interrompere servizi, eseguire comandi non autorizzati e compromettere risorse critiche.

  • CVE-2024-8640 : a causa di un filtraggio dell’input improprio, un utente malintenzionato potrebbe eseguire iniezioni di comandi che interessano il server Cube connesso tramite la configurazione YAML, compromettendo potenzialmente l’integrità dei dati. La vulnerabilità interessa GitLab EE a partire dalla versione 16.11.
  • CVE-2024-8635 : un utente malintenzionato potrebbe sfruttare una vulnerabilità SSRF creando un URL proxy di dipendenza Maven personalizzato per effettuare richieste alle risorse interne, il che potrebbe portare all’interruzione e alla compromissione dell’infrastruttura interna. La vulnerabilità interessa GitLab EE a partire dalla versione 16.8.
  • CVE-2024-8124 : un utente malintenzionato può effettuare DoS inviando un parametro glm_source di grandi dimensioni, sovraccaricando infine il sistema e rendendolo non disponibile. Il problema riguarda GitLab CE/EE a partire dalla versione 16.4.
  • CVE-2024-8641 : un utente malintenzionato può sfruttare CI_JOB_TOKEN per ottenere l’accesso al token della sessione GitLab di una vittima, portando infine al dirottamento della sessione. Il bug rappresenta una minaccia per GitLab CE/EE sin dalla versione 13.7.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Articoli in evidenza

Buon Compleanno Errore 404, 35 anni e non sentirli. Viva gli errori e i posti mai trovati!

I fallimenti fanno parte della nostra vita, quanti di noi ne ha avuti e quanti ne continueremo avere? Oggi parliamo di un codice, un codice semplice snello e schietto, il codice 404. Scopriremo che no...

Verso il GDPR 2.0 a favore del settore tech e delle PMI, ma a quale costo?

La notizia è stata anticipata da politico.eu: a partire da maggio 2025, la Commissione von der Leyen revisionerà il GDPR introducendo semplificazioni. Certo, non sarebbe male pubblicare prim...

Kidflix è crollato! La piattaforma dell’orrore è stata smantellata: 79 arresti e 39 bambini salvati

Oggi i bambini sono un po’ più al sicuro grazie ad una operazione di polizia coordinata da Europol che ha portato alla chiusura di Kidflix. Si tratta di una delle più grandi piattafor...

Arriva Flipper One! : Kali Linux, FPGA e SDR in un solo dispositivo?

Uno degli autori di Flipper Zero, Pavel Zhovner, ha condiviso i dettagli su come stanno procedendo i lavori su una nuova versione del multi-strumento per hacker: Flipper One. Lo sviluppatore ha pubbli...

DarkLab intervista HellCat Ransomware! La chiave è “assicurarsi che tutti comprendano la cybersecurity”

Il ransomware HellCat è apparso nella seconda metà del 2024 e ha attirato l’attenzione degli analisti grazie all’umorismo delle sue dichiarazioni pubbliche. Ricordiamo l’...