Uma falha no GitLab permite que endereços de email privados, usados para registrar problemas e tarefas, sejam explorados para executar ações não autorizadas, como enviar código e iniciar jobs de CI/CD. Essa vulnerabilidade não possui um identificador CVE, mas foi reportada pela Aikido Security.
Os endereços de email são gerados automaticamente e contêm um token de longa duração vinculado à conta do desenvolvedor. Qualquer pessoa que obtenha esse endereço pode enviar um email que será processado como se fosse o proprietário do token, permitindo a criação de merge requests e a execução de código em branches que o usuário pode acessar.
A exploração ativa dessa falha foi identificada, com pesquisadores encontrando endereços expostos em documentações públicas de projetos, incluindo READMEs e guias de contribuição. Aikido relatou que a GitLab foi notificada sobre a vulnerabilidade, mas considerou a situação como um comportamento intencional, levando a um aumento do risco de segurança em projetos populares.
Para mitigar o problema, recomenda-se que os usuários redefinam seus tokens de email de entrada através da página de tokens de acesso pessoal em seus perfis, o que invalidará os endereços expostos. A GitLab alerta que esses endereços devem ser mantidos em sigilo, pois qualquer um que os conheça pode agir em nome do usuário.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews