GitLab: bug permette agli hacker di controllare gli account

GitLab ha corretto una vulnerabilità ad alta gravità che gli aggressori non autenticati potevano sfruttare per impossessarsi degli account utente negli attacchi cross-site scripting (XSS). La falla di sicurezza (tracciata come CVE-2024-4835) è una debolezza XSS nell'editor di codice VS (Web IDE). Questa consentiva agli autori delle minacce di rubare informazioni riservate utilizzando pagine dannose. Sebbene questa vulnerabilità possa essere sfruttata negli attacchi che non richiedono l'autenticazione, l'interazione dell'utente è comunque necessaria e ciò e aumenta la complessità degli attacchi. Come riportato da GitLab sul suo sito ufficiale: “Rilasciamo le versioni 17.0.1, 16.11.3 e 16.10.6 per GitLab Community Edition (CE) ed Enterprise Edition (EE). Queste versioni contengono importanti bug e correzioni di sicurezza e consigliamo vivamente di aggiornare immediatamente tutte le installazioni GitLab a una di queste versioni”.

GitLab: le altre vulnerabilità gravi corrette nelle ultime settimane

Mercoledì, l'azienda ha inoltre corretto altri sei difetti di sicurezza di media gravità, tra cui un Cross-Site Request Forgery (CSRF) tramite Kubernetes Agent Server (CVE-2023-7045). Inoltre, è stato risolto un bug di negazione del servizio che può consentire agli aggressori di interrompere il caricamento delle risorse web GitLab (CVE-2024-2874). GitLab è un obiettivo popolare poiché è noto che ospita vari tipi di dati sensibili, tra cui chiavi API e codice proprietario. Pertanto, gli account violati possono avere un impatto significativo. Ciò include attacchi alla catena di fornitura, se gli aggressori inseriscono codice dannoso in ambienti CI/CD (Continuous Integration/Continuous Deployment), compromettendo i repository di un'organizzazione.

Come rilevato da CISA (Cybersecurity and Infrastructure Security Agency) all’inizio di questo mese, gli autori delle minacce stanno ora sfruttando attivamente un’altra vulnerabilità di dirottamento degli account senza clic, corretta da GitLab a gennaio. Classificato come CVE-2023-7028, questa vulnerabilità grave consente agli aggressori non autenticati di prendere il controllo degli account GitLab tramite la reimpostazione della password. Anche se Shadowserver ha scoperto oltre 5.300 istanze GitLab vulnerabili esposte online a gennaio. Meno della metà (2.084) sono ancora raggiungibili al momento. Il 1 maggio ​CISA ha aggiunto CVE-2023-7028 al suo catalogo delle vulnerabilità note sfruttate. L’organizzazione ha poi ordinato alle agenzie federali statunitensi di proteggere i propri sistemi entro il 22 maggio.