Una vulnerabilidad crítica en GitLab (CVSS 10,0) podría permitir la ejecución remota de código sin autenticación en versiones de los últimos 12 años

GitLab lanzó ac­tua­li­za­cio­nes co­rrec­ti­vas para so­lu­cio­nar una vul­ne­ra­bi­li­dad crí­ti­ca que per­mi­te la eje­cu­ción de có­di­go en ser­vi­do­res au­to­ges­tio­na­dos sin ne­ce­si­dad de au­ten­ti­ca­ción, la cual cuen­ta con la ca­li­fi­ca­ción má­xi­ma en la es­ca­la de gra­ve­dad. Este fallo se ori­gi­na de­bi­do a un des­bor­da­mien­to de en­te­ros du­ran­te la com­pi­la­ción de ex­pre­sio­nes re­gu­la­res me­dian­te el motor in­te­gra­do del sis­te­ma, lo que pro­vo­ca que el pro­ble­ma afec­te a todas las ver­sio­nes pu­bli­ca­das desde el año men­cio­na­do en el texto. Hasta el mo­men­to, no se ha in­for­ma­do sobre evi­den­cias de que esta de­bi­li­dad haya sido apro­ve­cha­da en ata­ques reales.

Los ad­mi­nis­tra­do­res de ins­ta­la­cio­nes pro­pias deben apli­car los par­ches, ya que las pla­ta­for­mas en la nube y los arren­da­ta­rios es­pe­cí­fi­cos ya cuen­tan con la mi­ti­ga­ción. El al­can­ce de esta de­bi­li­dad abar­ca múl­ti­ples ver­sio­nes, obli­gan­do a la em­pre­sa a ex­ten­der el so­por­te de co­rrec­ción más allá de sus po­lí­ti­cas ha­bi­tua­les de ver­sio­nes men­sua­les re­cien­tes. De­bi­do a que no se han de­ta­lla­do los re­qui­si­tos pre­vios ne­ce­sa­rios para que un ata­can­te al­can­ce el com­pi­la­dor afec­ta­do, la ac­tua­li­za­ción es la única me­di­da de pro­tec­ción de­fi­ni­ti­va, ya que no exis­ten so­lu­cio­nes tem­po­ra­les al­ter­na­ti­vas.

Este pro­ble­ma re­pre­sen­ta el cuar­to fallo de eje­cu­ción de có­di­go re­la­cio­na­do con el motor de ex­pre­sio­nes re­gu­la­res re­por­ta­do por el mismo in­ves­ti­ga­dor en el trans­cur­so de un mes, aun­que es el pri­me­ro que im­pac­ta a ver­sio­nes an­te­rio­res a las más re­cien­tes. Junto con esta co­rrec­ción prin­ci­pal, el pa­que­te de se­gu­ri­dad in­clu­ye otros pro­ble­mas re­suel­tos de menor gra­ve­dad, los cua­les abor­dan as­pec­tos como la toma de cuen­tas bajo con­di­cio­nes es­pe­cí­fi­cas y vul­ne­ra­bi­li­da­des en los pun­tos de co­ne­xión de ini­cio de se­sión ex­terno. Por úl­ti­mo, se ad­vier­te que el pro­ce­so de ac­tua­li­za­ción puede re­que­rir pla­ni­fi­ca­ción de­bi­do a mo­di­fi­ca­cio­nes en la base de datos que po­drían cau­sar in­te­rrup­cio­nes tem­po­ra­les en ser­vi­do­res de un solo nodo.