Una vulnerabilidad de máxima gravedad en GitLab pone en riesgo las cadenas de suministro

Se ha des­cu­bier­to una vul­ne­ra­bi­li­dad de má­xi­ma gra­ve­dad en las edi­cio­nes Com­mu­nity y En­ter­pri­se de GitLab, ca­ta­lo­ga­da con la má­xi­ma pun­tua­ción en la es­ca­la de se­gu­ri­dad. El fallo, que co­rres­pon­de a un pro­ble­ma de salto de di­rec­to­rio y au­sen­cia de va­li­da­cio­nes de iden­ti­dad en una in­ter­faz de pro­gra­ma­ción de apli­ca­cio­nes de la pla­ta­for­ma, per­mi­te a per­so­nas sin au­ten­ti­car la lec­tu­ra de ar­chi­vos ar­bi­tra­rios ubi­ca­dos en el ser­vi­dor afec­ta­do.

Los ata­can­tes ya están apro­ve­chan­do ac­ti­va­men­te este fallo tras su re­ve­la­ción y co­rrec­ción ofi­cial. Ex­per­tos en in­te­li­gen­cia de ame­na­zas de­tec­ta­ron pri­me­ro son­deos y pos­te­rior­men­te ata­ques com­ple­tos que lo­gra­ron la ex­trac­ción de do­cu­men­tos con­fi­den­cia­les, in­clui­dos re­gis­tros de con­fi­gu­ra­ción de se­cre­tos y pa­rá­me­tros de ac­ce­so re­mo­to del sis­te­ma. Aun­que el ac­ce­so ini­cial es de lec­tu­ra, los in­tru­sos pue­den ha­cer­se con cre­den­cia­les va­lio­sas y se­cre­tos de in­te­gra­ción y en­tre­ga con­ti­nua, lo que pone en ries­go las ca­de­nas de su­mi­nis­tro de soft­wa­re y los en­tor­nos de de­sa­rro­llo de las or­ga­ni­za­cio­nes.

Para que los ata­ques ten­gan éxito, se re­quie­re que la en­ti­dad ata­ca­da man­ten­ga al menos un pro­yec­to con­fi­gu­ra­do como pú­bli­co en su ser­vi­dor, una si­tua­ción que puede ocu­rrir in­clu­so en or­ga­ni­za­cio­nes que res­trin­gen el ac­ce­so ge­ne­ral o que des­co­no­cen el es­ta­do pú­bli­co de sus re­po­si­to­rios. Como me­di­das de mi­ti­ga­ción, se acon­se­ja a los usua­rios de ins­tan­cias au­to­ges­tio­na­das apli­car las ac­tua­li­za­cio­nes co­rres­pon­dien­tes o su­pri­mir cual­quier ac­ce­so pú­bli­co de in­me­dia­to, ade­más de re­vi­sar los re­gis­tros de ac­ti­vi­dad en busca de pe­ti­cio­nes sos­pe­cho­sas sin au­ten­ti­car.