GitLab corregge falle che toccano merge, CI/CD e accessi
GitLab non ha corretto un singolo bug periferico. Ha chiuso più falle che toccano i confini di fiducia della piattaforma: approvazioni, branch protetti, CI/CD e funzioni assistite da AI possono essere alterati da utenti con pochi privilegi, e in alcuni casi anche senza autenticazione. In pratica, non si rompe solo l’interfaccia web; si indeboliscono i controlli su codice e rilascio su cui si appoggia la collaborazione interna.
NCSC segnala correzioni in GitLab e GitLab EE per le versioni precedenti a 19.0.5, 19.1.3 e 19.2.1. Tra i problemi ci sono access control errati, una race condition TOCTOU, esposizione di credenziali e dati sensibili, modifiche non autorizzate a pipeline e impostazioni di branch, oltre a un difetto nell’input usato per il prompting del modello AI che poteva far emergere informazioni di progetto.
Il punto da fissare è che GitLab sta allargando la superficie d’attacco con funzioni di collaborazione che vengono trattate come affidabili per default. Qui il rischio non è solo la compromissione del portale, ma la perdita di fiducia nei controlli di merge e nel materiale che sviluppatori e DevOps considerano interno e protetto.