GitLab: CISA alerta sobre exploração de falha grave de redefinição de senha

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionou uma falha crítica que afeta o GitLab ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV). A empresa está alertando aos usuários do GitLab devido à exploração ativa em estado selvagem desta falha.

Falha explorada no GitLab

A falha foi rastreada como CVE-2023-7028 (pontuação CVSS: 10,0). A vulnerabilidade de gravidade máxima pode facilitar o controle da conta, enviando e-mails de redefinição de senha para um endereço de e-mail não verificado. O GitLab, que divulgou detalhes da deficiência no início de janeiro, disse que ela foi introduzida como parte de uma mudança de código na versão 16.1.0 em 1º de maio de 2023.

“Dentro dessas versões, todos os mecanismos de autenticação são impactados”, observou a empresa na época. “Além disso, os usuários que têm a autenticação de dois fatores ativada são vulneráveis ??à redefinição de senha, mas não ao controle da conta, pois seu segundo fator de autenticação é necessário para fazer login.”

Exploração do problema

A exploração bem-sucedida do problema pode ter consequências graves, pois não só permite que um adversário assuma o controle de uma conta de usuário do GitLab, mas também roube informações confidenciais, credenciais e até mesmo envenene repositórios de código-fonte com código malicioso, levando a ataques à cadeia de suprimentos.

“Por exemplo, um invasor que obtenha acesso à configuração do pipeline de CI/CD pode incorporar código malicioso projetado para exfiltrar dados confidenciais, como informações de identificação pessoal (PII) ou tokens de autenticação, redirecionando-os para um servidor controlado pelo adversário”, disse a empresa de segurança em nuvem. Mitiga disse em um relatório recente.