Una vulnerabilidad de lectura de archivos en GitLab con puntuación CVSS 10 atrae ataques reales tras su divulgación

GitLab ha lan­za­do co­rrec­cio­nes para so­lu­cio­nar va­rios fa­llos de se­gu­ri­dad, in­clu­yen­do un pro­ble­ma de gra­ve­dad má­xi­ma que ha co­men­za­do a re­ci­bir ata­ques reales poco des­pués de ha­cer­se pú­bli­co. Esta vul­ne­ra­bi­li­dad, ca­ta­lo­ga­da con la pun­tua­ción de gra­ve­dad más alta po­si­ble, con­sis­te en un fallo de salto de di­rec­to­rio den­tro de la API de con­fir­ma­cio­nes de re­po­si­to­rios. Esto po­dría per­mi­tir que usua­rios sin au­ten­ti­ca­ción lo­gren leer ar­chi­vos ar­bi­tra­rios desde el ser­vi­dor bajo cier­tas con­di­cio­nes es­pe­cí­fi­cas, de­bi­do a una falta de con­fi­na­mien­to de rutas y de con­trol de au­ten­ti­ca­ción.

Las ver­sio­nes afec­ta­das de las edi­cio­nes co­mu­ni­ta­ria y em­pre­sa­rial de la pla­ta­for­ma abar­can di­ver­sos ran­gos es­pe­cí­fi­cos lan­za­dos re­cien­te­men­te, por lo que la com­pa­ñía ha ins­ta­do a apli­car los par­ches co­rres­pon­dien­tes. Di­ver­sas fuen­tes de in­te­li­gen­cia de ame­na­zas ad­vir­tie­ron que la falla co­men­zó a ser son­dea­da y ex­plo­ta­da ac­ti­va­men­te poco des­pués de su di­vul­ga­ción pú­bli­ca. Los ata­can­tes apro­ve­chan esta bre­cha para ac­ce­der a ar­chi­vos de re­gis­tro y con­fi­gu­ra­cio­nes del sis­te­ma, ob­te­nien­do cre­den­cia­les, se­cre­tos e in­for­ma­ción con­fi­den­cial, lo que re­pre­sen­ta un atrac­ti­vo pe­li­gro­so al poder com­pro­me­ter có­di­go fuen­te, se­cre­tos de in­te­gra­ción y des­plie­gue con­ti­nuo, o per­mi­tir la in­yec­ción de có­di­go.

Adi­cio­nal­men­te, se co­rri­gió otro fallo crí­ti­co de deseria­li­za­ción in­se­gu­ri­dad en la edi­ción em­pre­sa­rial que podía de­ri­var en la di­vul­ga­ción de in­for­ma­ción. Esta se­gun­da vul­ne­ra­bi­li­dad per­mi­tía que usua­rios au­ten­ti­ca­dos con ac­ce­so a una he­rra­mien­ta de chat ob­tu­vie­ran con­fi­gu­ra­cio­nes avan­za­das y cre­den­cia­les me­dian­te pe­ti­cio­nes ma­ni­pu­la­das. Ante el ries­go de ata­ques ma­si­vos, las au­to­ri­da­des com­pe­ten­tes han aña­di­do la falla prin­ci­pal a sus ca­tá­lo­gos de vul­ne­ra­bi­li­da­des ex­plo­ta­das, exi­gien­do la apli­ca­ción ur­gen­te de los par­ches y la re­vi­sión de re­gis­tros de ac­ti­vi­dad en busca de so­li­ci­tu­des sos­pe­cho­sas.