ACTUALIZACIÓN DE SEGURIDAD CORRIGE VULNERABILIDADES CRITICAS EN GITLAB

20/01/2023

BOLETÍN NRO 2023-049

Recientemente se lanzaron actualizaciones de seguridad para vulnerabilidades críticas que afectan a productos GitLab.

Servicios Afectados

• GitLab Community Edition - Versiones 15.0.0 - 15.7.4
• GitLab Enterptise Edition - Versiones 15.0.0 - 15.7.3

Detalles Tecnicos

CVE: CVE-2022-41903, CVE-2022-23521                                    Severidad:   CRÍTICA

GitLab descubrió 2 vulnerabilidades que afectan a sus productos: 

GitLab Community Edition: una aplicación de código que se utiliza, principalmente, para alojar repositorios Git.

Enterprise Edition: plataforma de programación para desarrollar y ejecutar software de aplicaciones en el lenguaje de programación Java.

Estas vulnerabilidades fueron catalogadas por el fabricante con severidad crítica. Cabe destacar que ambas permiten a un atacante remoto ejecutar código arbitrario en el sistema vulnerable. En la base de datos del NIST aún no ha registrado estas vulnerabilidades, por lo tanto, no se les ha asignado puntuación de acuerdo con la escala CVSSv3.

CVE-2022-41903: Vulnerabilidad que existe debido a un boundary error durante la ejecución del archivo git. Un atacante remoto puede engañar a la víctima para que utilice la aplicación contra un archivo especialmente diseñado, desencadenar un desbordamiento de búfer y ejecutar código arbitrario en el sistema de destino.

CVE-2022-23521: Vulnerabilidad causada debido a una validación insuficiente de la entrada proporcionada por el usuario al analizar los atributos .gitattributes. Un atacante remoto puede engañar a la víctima para que clone un repositorio especialmente diseñado y ejecute código arbitrario en el sistema

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Actualizar las versiones de los productos GitLab Community Edition y Enterprise Edition (EE) a las versiones 15.7.5, 15.6.6 y 15.5.9.
• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

** Aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Vulnerabilidades en GitLab Community Edition y Enterprise Edition
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​