Le regex CI/CD aprono una via al codice sul server GitLab
CSIRT Italia si è aggiunto a INCIBE-CERT nel confermare 11 vulnerabilità in GitLab CE/EE, di cui due critiche che consentono a un utente autenticato di eseguire codice sul server. Non sono state riportate nuove prove di sfruttamento né variazioni del perimetro interessato.
Le due falle critiche riguardano le espressioni regolari nelle configurazioni CI/CD. Un utente autorizzato a modificarle può inserire un pattern costruito ad arte: un errore nel modo in cui GitLab lo elabora fa sì che il server esegua codice invece di limitarsi a valutare la regola.
Sono interessate le installazioni self-managed dalla versione 13.11 fino alla 19.2.6, e le versioni 19.3 precedenti alla 19.3.3 e 19.4 precedenti alla 19.4.1. Le versioni corrette sono 19.2.7, 19.3.3 e 19.4.1 o successive; GitLab Dedicated è già corretto. Per chi gestisce GitLab in proprio, la configurazione delle pipeline è quindi anche una superficie di esecuzione sul server.
Rilasciati aggiornamenti di sicurezza che risolvono 11 vulnerabilità, di cui 2 con gravità “critica” e 2 con gravità “alta”, in GitLab Community Edition (CE) ed Enterprise Edition (EE).