GitLab, um dos repositórios de código mais famosos do mundo, enfrenta problemas críticos de segurança na atualização mais recente. Além da funcionalidade avançada, o 16.0 patch trouxe uma vulnerabilidade extremamente grave. Especialistas já deram CVSS 10.0 marca – o mais alto possível.
O que é GitLab?
GitLab é um repositório de código aberto e plataforma colaborativa de desenvolvimento de software. O pacote de software DevOps permite aos usuários desenvolver, proteger e usar software usado por equipes de desenvolvimento que precisam gerenciar seu código remotamente. Tem em volta 30 milhões de usuários registrados, incluindo um milhão de clientes pagantes. Como você pode imaginar, mesmo um pequeno problema ou vulnerabilidade no produto terá uma escala assustadora – e foi isso que aconteceu.
Vulnerabilidade do GitLab obtém classificação CVSS mais alta
A empresa descobriu recentemente uma travessia de caminho crítico vulnerabilidade CVE-2023-2825 com pontuação CVSS de status de gravidade máxima de 10.0. Esta vulnerabilidade permite que invasores não autenticados leiam arquivos arbitrários no servidor sob certas condições. Os invasores podem ler dados confidenciais de endpoints vulneráveis. Esses dados podem incluir código de software proprietário, as credenciais do usuário, fichas, arquivos, e outras informações pessoais.
A vulnerabilidade foi descoberta por pesquisador de segurança cibernética “pwnie” e afetado versões 16.0.0 da edição da comunidade GitLab (CE) e Edição Empresarial (EE). Ele disse que você deve ter um anexo em um projeto público aninhado em pelo menos cinco grupos para explorar a vulnerabilidade. No entanto, o excelente é que essa estrutura só é encontrada em alguns projetos GitHub. Além disso, versão 16.0 é a atualização mais recente do GitLab CE/EE, portanto, simplesmente circula muito pouco tempo para se tornar uma questão importante.
Mitigação
GitLab lançou imediatamente uma atualização de segurança para resolver esta vulnerabilidade após sua descoberta, destacando sua resposta rápida a essas ameaças à segurança. Para proteger seus sistemas, Versão GitLab CE ou EE 16.0.0 os usuários são fortemente encorajados a instalar a atualização mais recente ou realizar uma reversão.
Recomendamos fortemente que todas as instalações que executam uma versão afetada pelos problemas descritos abaixo sejam atualizadas para a versão mais recente o mais rápido possível. Quando nenhum tipo de implantação específico (ônibus, Código fonte, gráfico de leme, etc.) de um produto é mencionado, isso significa que todos os tipos são afetados. – GitLab.
Para atualizar sua instalação do GitLab, por favor segue estas instruções.
Além das diretrizes oficiais, você pode aplicar uma série de outras medidas. Eles são reativos, mas provavelmente farão seu trabalho no caso de outros problemas que não receberão uma solução tão rápida.
Por exemplo, Eu recomendo usar software que suporte o modelo de confiança zero. Em duas palavras, Zero Trust é uma estratégia de segurança projetada para implementar princípios de segurança. Não é um produto ou serviço, mas sim uma abordagem. Esses princípios incluem verificação detalhada, o uso de acesso com menos privilégios, e a suposição de uma violação. No entanto, isso pode impedir o acesso não autorizado.
Além disso, você pode acompanhar as notícias cibernéticas e acompanhar os últimos desenvolvimentos. Por isso, você pode obter informações valiosas sobre os produtos mais recentes, ameaças emergentes, e tendências de segurança cibernética. Fontes de notícias cibernéticas fornecem informações sobre novas vulnerabilidades, violações de dados, ataques de malware, e incidentes de hackers. Então, permite que você permaneça proativo e melhor equipado para proteger você e seus ativos digitais. Acompanhando esses relatórios, você pode aprender com exemplos do mundo real e compreender as táticas e técnicas empregadas pelos cibercriminosos. Prevenido é prevenido.
