Código HTML do Conteúdo
Post: GitLab corrige vulnerabilidade crítica CVE-2025-6454
<div>
<div data-element_type="widget" data-id="914a4f5" data-widget_type="shortcode.default">
<div>
<div>
<p><span><b><a href="https://www.redhotcyber.com/post/author/redazione/" target="_blank">Redazione RHC</a>:18 Setembro 2025 17:41</b></span></p>
<p>A plataforma de desenvolvimento colaborativo GitLab <a href="https://about.gitlab.com/releases/2025/09/10/patch-release-gitlab-18-3-2-released/" target="_blank">anunciou</a> A correção para uma vulnerabilidade crítica, identificada como <a href="https://www.redhotcyber.com/servizi/cve/?cve_id=CVE-2025-6454" target="_new _blank">CVE-2025-6454</a>. O problema afetou as instalações do servidor das edições Community e Enterprise e permitiu que solicitações fossem feitas a recursos internos por meio de cabeçalhos de webhook especialmente criados.</p>
<p>O ataque exigiu uma conta com <strong>Privilégios mínimos de desenvolvedor</strong> e nenhuma intervenção de outros usuários foi necessária.</p>
<p><strong>O bug recebeu uma alta pontuação CVSS de 8,5 em 10</strong>. Afetou versões <em>16.11 a 18.1.6, 18.2 a 18.2.6 e 18.3 a 18.3.2. </em>As correções foram incluídas na versão 18.3.2, lançada em 10 de setembro. O GitLab enfatizou que o problema foi descoberto por meio de um programa de caça a bugs e que o relatório foi escrito por um pesquisador usando o pseudônimo <a href="https://hackerone.com/ppee" target="_blank">“PPEE</a> “.</p>
<p>A vulnerabilidade era única na medida em que <strong>permitido ignorando as restrições de isolamento de rede.</strong> Solicitações <em>podem ser enviados para proxies internos, serviços de metadados ou APIs locais.</em> Isso era visível em logs de eventos por meio de cabeçalhos HTTP não padrão e solicitações para endereços atípicos. Especialistas alertam que tais ataques podem levar ao vazamento de dados confidenciais e comprometer a integridade da infraestrutura.</p>
<p>No momento da publicação, não há exploração disponível publicamente, nem há evidências de exploração real. No entanto, o perigo potencial é alto: a descrição afirma que a vulnerabilidade afeta a confidencialidade, disponibilidade e integridade dos dados.</p>
<p>Os desenvolvedores são aconselhados a <strong>atualize o GitLab para as versões 18.1.6, 18.2.6 ou 18.3.2 ou posteriores</strong> O mais rápido possível. Também recomendamos revisar as configurações do webhook e desabilitar o uso de <em>cabeçalhos personalizados, se os usuários puderem defini-los.</em></p>
<p>Para implantações baseadas em proxy reverso, recomendamos <em>restringindo o acesso do GitLab a recursos internos</em>. Também recomendamos monitorar logs em busca de solicitações suspeitas e segmentar sua rede para evitar acesso indesejado.</p>
<div>
<div>
<div>
<div>
<p><b><span>Redação</span></b><br /><span>A equipe editorial da Red Hot Cyber é composta por um grupo de indivíduos e fontes anônimas que colaboram ativamente para fornecer informações e notícias antecipadas sobre segurança cibernética e computação em geral.</span></p>
<p><a href="https://www.redhotcyber.com/post/author/redazione/" target="_blank">Lista degli articoli</a></p>
</div>
</div>
</div>
</div>
</div>
</div>
</div></div>