GitLab advierte de una vulnerabilidad de ejecución de código de máxima gravedad

GitLab ha emi­ti­do una ad­ver­ten­cia para que los usua­rios ac­tua­li­cen de in­me­dia­to una falla de se­gu­ri­dad de má­xi­ma gra­ve­dad en­con­tra­da en el Com­pi­la­dor de Ex­pre­sio­nes Re­gu­la­res de CI/CD. Este pro­ble­ma, iden­ti­fi­ca­do con una clave es­pe­cí­fi­ca de se­gui­mien­to, fue des­cu­bier­to por un in­ves­ti­ga­dor de se­gu­ri­dad me­dian­te un pro­gra­ma de re­com­pen­sas por erro­res y po­dría per­mi­tir que ata­can­tes re­mo­tos eje­cu­ten có­di­go ar­bi­tra­rio en los ser­vi­do­res afec­ta­dos.

El fallo se ori­gi­na en una de­bi­li­dad de des­bor­da­mien­to de en­te­ros re­la­cio­na­da con la va­li­da­ción in­su­fi­cien­te de ex­pre­sio­nes re­gu­la­res den­tro de los ar­chi­vos de con­fi­gu­ra­ción de tu­be­rías de los pro­yec­tos. De­bi­do a esta vul­ne­ra­bi­li­dad, un usua­rio sin au­ten­ti­ca­ción po­dría lo­grar la eje­cu­ción de có­di­go en el ser­vi­dor me­dian­te el uso de una ex­pre­sión re­gu­lar di­se­ña­da con fines ma­li­cio­sos en una con­fi­gu­ra­ción de CI/CD.

La com­pa­ñía so­lu­cio­nó este pro­ble­ma en va­rias ver­sio­nes es­pe­cí­fi­cas tanto de la edi­ción Com­mu­nity como En­ter­pri­se, re­co­men­dan­do la apli­ca­ción in­me­dia­ta de los par­ches en las ins­ta­la­cio­nes au­to­ges­tio­na­das, mien­tras que la pla­ta­for­ma en la nube ya cuen­ta con la ac­tua­li­za­ción y los clien­tes de­di­ca­dos no re­quie­ren ac­cio­nes. Adi­cio­nal­men­te, el texto men­cio­na otros in­ci­den­tes pre­vios aten­di­dos por la pla­ta­for­ma, in­clu­yen­do vul­ne­ra­bi­li­da­des de omi­sión de au­ten­ti­ca­ción y de lec­tu­ra de datos con­fi­den­cia­les, así como la in­ter­ven­ción de una agen­cia gu­ber­na­men­tal es­ta­dou­ni­den­se en re­la­ción con uno de di­chos fa­llos.