Vulnerabilidades en GitLab
GitLab ha publicado recientemente 17 vulnerabilidades: 1 de severidad crítica, 2 de severidad elevada, 9 de severidad media y 5 de severidad baja, mediante las cuales quien ataca podría acceder a credenciales, ejecutar una vulnerabilidad del tipo Cross-Site Scripting (XSS), acceder a tokens de registro, variables de entorno o causar una denegación de servicio, entre otros.
Para esta vulnerabilidad se ha asignado el identificador CVE-2022-1162.
Detalles Técnicos
La vulnerabilidad crítica, detectada en varias versiones del producto, utiliza cuentas válidas como parte del código en los registros de un proveedor de OmniAuth (ej.: OAuth, LDAP y SAML) en GitLab CE/EE, permitiendo a quien ataca acceder a las credenciales y lograr el compromiso de las mismas.
Recomendaciones
Se recomienda actualizar las siguientes versiones:
- 14.9.2
- 14.8.5
- 14.7.7
Detección
Gitlab ha compartido un script que puede ser usado por quienes lo administran, con la finalidad de identificar cuentas potencialmente expuestas.
Acceder a la herramienta Gitlab
Referencias
- Información del fabricante
- Información sobre la vulnerabilidad
- Publicación de la vulnerabilidad en MITRE