La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha etiquetado una vulnerabilidad crítica que afecta al popular administrador de repositorios basado en Git GitLab como una vulnerabilidad explotada conocida (KEV). La medida surge en respuesta a intentos de explotación activos detectados en la naturaleza, lo que subraya la urgencia de que las organizaciones apliquen rápidamente actualizaciones de seguridad.
Registrada como CVE-2023-7028, la falla grave (puntaje CVSS: 10.0) podría permitir a los adversarios apoderarse de cuentas de usuarios enviando correos electrónicos de restablecimiento de contraseña a direcciones de correo electrónico no verificadas. El catálogo KEV de CISA enumera vulnerabilidades de ciberseguridad conocidas públicamente que conllevan un riesgo significativo para las agencias federales y son explotadas activamente por actores de amenazas.
GitLab reveló inicialmente la falla en enero de 2023. La vulnerabilidad, introducida como parte de un cambio de código en la versión 16.1.0 lanzada el 1 de mayo de 2023, afecta «todos los mecanismos de autenticación» en las versiones afectadas.
«Además, los usuarios que tienen habilitada la autenticación de dos factores son vulnerables al restablecimiento de la contraseña, pero no a la apropiación de la cuenta, ya que se requiere su segundo factor de autenticación para iniciar sesión», GitLab fijado en su asesoría.
Las consecuencias de una explotación exitosa podrían ser graves, según los investigadores de seguridad.
Empresa de seguridad en la nube Mitiga prevenido que un atacante que obtenga el control de una cuenta de usuario de GitLab podría potencialmente robar información confidencial, credenciales e incluso inyectar código malicioso en repositorios de código fuente, allanando el camino para ataques a la cadena de suministro.
“Para los atacantes y los malos actores internos que se aprovechan de él, GitLab representa algo más: una rica fuente de valor organizacional llena de propiedad intelectual. Por lo tanto, comprender los riesgos de posibles ataques y uso indebido es importante para los usuarios de GitLab”, explicó Mitiga.
“Un atacante que obtenga acceso a la configuración del canal CI/CD podría incrustar código malicioso diseñado para filtrar datos confidenciales, como información de identificación personal (PII) o tokens de autenticación, redirigiéndolos a un servidor controlado por el adversario.
“De manera similar, la manipulación del código del repositorio podría implicar la inserción de malware que comprometa la integridad del sistema o introduzca puertas traseras para el acceso no autorizado. El código malicioso o el abuso del canal podrían provocar robo de datos, interrupción del código, acceso no autorizado y ataques a la cadena de suministro”.
Desde entonces, GitLab ha lanzado parches para abordar la vulnerabilidad en las versiones 16.5.6, 16.6.4 y 16.7.2, con backports disponibles para las versiones 16.1.6, 16.2.9, 16.3.7 y 16.4.5.
La decisión de CISA de agregar CVE-2023-7028 al catálogo KEV subraya la gravedad de la falla y los riesgos potenciales que representa para las agencias federales y la infraestructura crítica. Según las directrices de la agencia, las agencias civiles federales deben aplicar las actualizaciones necesarias antes del 22 de mayo de 2024 para proteger sus redes contra posibles intentos de explotación.
Si bien CISA no ha proporcionado detalles específicos sobre cómo se está explotando activamente la vulnerabilidad, la directiva de la agencia destaca la importancia de aplicar parches oportunos, especialmente frente a amenazas cada vez más sofisticadas y persistentes que apuntan a las cadenas de suministro de software.
(Foto por Leandro Mazzuquini)
Ver también: El lanzamiento de 2FA de GitHub aumenta la seguridad de la cadena de suministro
¿Quiere obtener más información sobre la ciberseguridad y la nube de la mano de los líderes de la industria? Verificar Exposición de seguridad cibernética y nube que tendrá lugar en Ámsterdam, California y Londres. El evento integral comparte ubicación con otros eventos importantes, incluidos bloquex, Semana de la Transformación Digital, Exposición de tecnología de IoT y Exposición de IA y Big Data.
Explore otros próximos eventos y seminarios web de tecnología empresarial impulsados por TechForge aquí.
