La vulnerabilidad CVE-2022-2884, de severidad “crítica”, con una puntuación asignada de 9.9. Esta vulnerabilidad se debe a una falla en el endpoint de la API de importación de GitHub. Esto permitiría a un atacante autenticado realizar ejecución remota de código (RCE). Actualmente existen PoCs publicados en internet para esta vulnerabilidad.
Los productos afectados son:
- GitLab Community Edition (CE), versiones anteriores a la 15.3.1, 15.2.3 y 15.1.5.
- GitLab Enterprise Edition (EE), versiones anteriores a la 15.3.1, 15.2.3 y 15.1.5.
Recomendamos instalar las actualizaciones correspondientes provistas por GitLab en el siguiente enlace:
Adicionalmente, si no es posible actualizar de inmediato, puede proteger su instalación de GitLab contra esta vulnerabilidad utilizando la solución que se describe a continuación:
Deshabilitar la importación de GitLab, iniciando sesión con una cuenta con privilegios de administrador y siguiendo los siguientes pasos:
- Hacer clic en «Menú» -> «Administrador».
- Hacer clic en «Configuración» -> «General».
- Expandir pestaña de «Visibilidad y controles de acceso».
- Deshabilitar la opción «GitHub» en «Importar fuentes».
- Finalmente, hacer clic en “Guardar cambios”.
Nota: Al finalizar los pasos puede verificar si la solución fue aplicada correctamente a través del siguiente enlace.
Referencias: