Falha crítica de RCE no GitLab afeta 12 anos de versões
Uma vulnerabilidade com pontuação CVSS 10.0 no GitLab permite execução remota de código sem autenticação em versões desde 2014. Todas as instâncias auto-gerenciadas devem ser atualizadas imediatamente.
TL;DR
- GitLab divulgou uma falha crítica (CVE-XXXX-YYYY) que permite RCE sem autenticação.
- Impacta todas as versões desde a 7.0 (2014) até as mais recentes.
- Patch inicial em 12 de outubro não cobriu versões antigas; correção completa em 21 de outubro.
- Administradores do GitLab auto-gerenciado devem atualizar para as versões corrigidas.
- Não há evidências de exploração ativa, mas o risco é extremamente alto.
O GitLab divulgou uma falha de segurança crítica que permite que atacantes não autenticados executem código arbitrário em servidores auto-gerenciados. Classificada como CVSS 10.0, a maior pontuação de severidade possível, essa falha afeta praticamente todas as versões do GitLab lançadas desde 2014.
A vulnerabilidade impacta organizações que utilizam o GitLab Community Edition (CE) e Enterprise Edition (EE) em ambientes auto-gerenciados. Instâncias hospedadas na nuvem do GitLab não são afetadas. Administradores que aplicaram os patches de 12 de outubro ainda podem estar vulneráveis, pois essas atualizações cobriam apenas versões mais recentes.
Detalhes da Vulnerabilidade
- A falha permite execução remota de código sem autenticação em instâncias auto-gerenciadas do GitLab
- Afeta todas as versões do GitLab desde a 7.0 (lançada em novembro de 2014) até as versões atuais
- Instâncias hospedadas na nuvem do GitLab.com não são impactadas por esta vulnerabilidade
- Atacantes podem obter controle completo dos servidores afetados sem credenciais válidas
Requisitos de Correção
- O GitLab lançou patches iniciais em 12 de outubro, mas eles cobriam apenas versões 19.2 e posteriores
- Patches adicionais lançados em 21 de outubro abrangem todas as versões afetadas
- Administradores devem verificar sua versão do GitLab e aplicar os patches adequados
- Organizações devem revisar o aviso oficial do GitLab para mapeamentos específicos de versões
- Equipes de segurança devem monitorar atividades suspeitas mesmo após a aplicação dos patches
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.