Новая угроза в каталоге CISA: уязвимость обхода пути в GitLab требует немедленного реагирования

Федеральное агентство по кибербезопасности и защите инфраструктуры США (CISA) расширило свой каталог Known Exploited Vulnerabilities (KEV), включив в него одну новую запись. Основанием для этого послужили неопровержимые доказательства активной эксплуатации данной бреши злоумышленниками в реальных атаках. Речь идет об уязвимости под идентификатором CVE-2023-4998, которая затрагивает как Community Edition (CE), так и Enterprise Edition (EE) платформы для DevOps — GitLab. Этот инцидент служит очередным напоминанием о том, что даже самые популярные и развитые инструменты могут содержать критические недостатки безопасности, требующие от команд ИБ максимальной бдительности и скорости реакции.

Детали уязвимости CVE-2023-4998 в GitLab

Уязвимость классифицируется как «обход каталога» (Path Traversal). Проблема связана с модулем Import/Export. Суть этой атаки заключается в возможности манипулировать путями к файлам таким образом, чтобы получить доступ к директориям за пределами корневой папки веб-приложения. В контексте GitLab это означает, что удаленный злоумышленник может обойти установленные ограничения доступа и прочитать или записать произвольные файлы на сервере, где развернут экземпляр системы. Уязвимы версии GitLab CE/EE до 16.2.7, 16.3.4 и 16.4.1. Поскольку GitLab является центральным хранилищем исходного кода, конфигураций CI/CD пайплайнов и секретов, компрометация его сервера равносильна полной потере контроля над всей инфраструктурой разработки. Эксплуатация такой бреши позволяет атакующему внедрить вредоносный код непосредственно в репозитории, украсть учетные данные разработчиков или закрепиться в системе для дальнейших перемещений по сети компании.

Анализ влияния на бизнес-процессы и инфраструктуру

Для любой современной организации, использующей GitLab, наличие публично известной и уже эксплуатируемой уязвимости такого уровня создает экзистенциальную угрозу. Основной риск заключается не просто в дефейсе страницы проекта, а в получении злоумышленником полного контроля над активом. Это влечет за собой каскад последствий: кражу интеллектуальной собственности из закрытых репозиториев, саботаж процессов сборки через внедрение закладок в артефакты, хищение токенов доступа к облачным провайдерам и смежным системам. Если инфраструктура находится в периметре государственных учреждений США, требования к устранению становятся юридически обязательными согласно Директиве BOD 22-01, однако для коммерческого сектора последствия утечки данных клиентов или проприетарного кода могут быть столь же разрушительными с финансовой и репутационной точек зрения.

Требования Binding Operational Directive 22-01 и их применимость

Хотя официальное требование Binding Operational Directive (BOD) 22-01 носит императивный характер только для агентств Федерального гражданского исполнительного блока (FCEB) США, заложенные в нем принципы являются золотым стандартом управления уязвимостями. Данная директива прямо обязывает федеральные ведомства приоритизировать устранение недостатков безопасности именно на основе каталога KEV. Ключевой момент документа заключается в установлении жестких сроков устранения для тех уязвимостей на публично доступных активах, эксплуатация которых ведет к полному захвату системы. Кроме того, BOD 22-01 регламентирует необходимость проведения ретроспективного анализа: агентства обязаны проверять, не был ли их узел скомпрометирован до момента установки исправления. Частным компаниям настоятельно рекомендуется использовать этот подход для построения собственной стратегии патч-менеджмента.

Практические рекомендации по нейтрализации угрозы

В связи с добавлением CVE-2023-4998 в каталог активно эксплуатируемых уязвимостей, инженерным и ИБ-командам необходимо предпринять следующие шаги безотлагательно:

• Провести инвентаризацию всех экземпляров GitLab CE и EE во внутренней сети и демилитаризованной зоне для выявления уязвимых версий.
• Незамедлительно применить обновления безопасности, выпущенные разработчиками GitLab для устранения данного обхода каталога.
• Для систем, которые невозможно оперативно обновить, полностью ограничить сетевой доступ к ним извне, оставив возможность подключения только из доверенных сегментов корпоративной сети.
• Проанализировать журналы событий (логи) затронутых серверов на предмет индикаторов компрометации, включая подозрительные запросы к файловой системе и создание новых учетных записей с правами администратора.
• Проверить целостность файлов конфигурации и скриптов CI/CD на наличие несанкционированных изменений или вставок вредоносного кода.

Как проверить с помощью Perimeter

Платформа External Attack Surface Management (EASM) помогает выявить подобные риски еще до того, как они приведут к инциденту. Модуль сканирования уязвимостей (vulnerability) непрерывно сопоставляет ваши публичные активы с базой данных CVE/NVD. Если в вашем периметре обнаружен работающий веб-интерфейс GitLab, система автоматически проверит его версию на соответствие известным проблемам, включая свежие записи из каталога KEV. Вы получите приоритетный алерт о необходимости срочного обновления, поскольку данная уязвимость помечена как активно эксплуатируемая. Дополнительная проверка заголовков HTTP и ответов сервера бесплатным инструментом проверки технологий поможет убедиться, что версия ПО действительно актуальна после деплоя фикса.