Una vulnerabilidad de máxima gravedad en GitLab pone en riesgo las cadenas de suministro

Se ha descubierto una vulnerabilidad de máxima gravedad en las ediciones Community y Enterprise de GitLab, catalogada con la máxima puntuación en la escala de seguridad. El fallo, que corresponde a un problema de salto de directorio y ausencia de validaciones de identidad en una interfaz de programación de aplicaciones de la plataforma, permite a personas sin autenticar la lectura de archivos arbitrarios ubicados en el servidor afectado.

Los atacantes ya están aprovechando activamente este fallo tras su revelación y corrección oficial. Expertos en inteligencia de amenazas detectaron primero sondeos y posteriormente ataques completos que lograron la extracción de documentos confidenciales, incluidos registros de configuración de secretos y parámetros de acceso remoto del sistema. Aunque el acceso inicial es de lectura, los intrusos pueden hacerse con credenciales valiosas y secretos de integración y entrega continua, lo que pone en riesgo las cadenas de suministro de software y los entornos de desarrollo de las organizaciones.

Para que los ataques tengan éxito, se requiere que la entidad atacada mantenga al menos un proyecto configurado como público en su servidor, una situación que puede ocurrir incluso en organizaciones que restringen el acceso general o que desconocen el estado público de sus repositorios. Como medidas de mitigación, se aconseja a los usuarios de instancias autogestionadas aplicar las actualizaciones correspondientes o suprimir cualquier acceso público de inmediato, además de revisar los registros de actividad en busca de peticiones sospechosas sin autenticar.