GitLab insta a parchear una vulnerabilidad de path traversal de severidad máxima

GitLab ha solicitado a los usuarios que actualicen sus servidores de manera inmediata para corregir una vulnerabilidad de path traversal de severidad máxima, registrada como CVE-2026-85706. El fallo, descubierto por un investigador de seguridad conocido como 's3ntago' y reportado a través del programa de recompensas por errores HackerOne de GitLab, se origina por un confinamiento de rutas inadecuado y la falta de autenticación en la API de confirmaciones de repositorio.

Según GitLab, atacantes no autenticados pueden explotar CVE-2026-85706 para leer archivos arbitrarios de los servidores vulnerables 'bajo ciertas condiciones'.

Ayer, GitLab parcheó una segunda vulnerabilidad crítica, identificada como CVE-2026-87719, que proviene de una debilidad de deserialización insegura en el serializador de suscripciones GraphQL. CVE-2026-87719 afecta a GitLab EE y permite a usuarios autenticados con acceso a Duo Chat robar credenciales sensibles y configuraciones de instancias de Búsqueda Avanzada.

GitLab corrigió ambos problemas de seguridad en las versiones 19.3.2, 19.2.6 y 19.1 de GitLab Community Edition (CE) y Enterprise Edition (EE) el jueves, e instó a los usuarios a parchear sus sistemas de inmediato.

Estas versiones contienen importantes correcciones de errores y seguridad, y recomendamos encarecidamente que todas las instalaciones auto-gestionadas de GitLab se actualicen a una de estas versiones de inmediato. GitLab.com ya ejecuta la versión parcheada. Los clientes de GitLab Dedicated no necesitan tomar medidas.

En mayo de 2023, GitLab abordó otra vulnerabilidad de path traversal de severidad máxima (CVE-2023-2825) que exponía datos sensibles, incluido código de software propietario, credenciales de usuario, tokens y archivos en servidores sin parchear.

Un año después, CISA y el FBI instaron a las empresas de software a eliminar las vulnerabilidades de path traversal de sus productos antes de lanzarlos, afirmando que tales fallos 'han sido calificados como imperdonables desde al menos 2007'.

Más recientemente, en enero, GitLab también parcheó una vulnerabilidad de alta severidad de omisión de autenticación de dos factores que afectaba a las ediciones community y enterprise, y que permitía a atacantes que conocían el ID de cuenta del objetivo eludir la autenticación de dos factores.

Desde noviembre de 2021, la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) ha señalado cuatro vulnerabilidades de GitLab como explotadas en ataques, incluidas dos (CVE-2021-22175 y CVE-2021-39935) en febrero de este año.

La plataforma DevSecOps de GitLab cuenta con más de 30 millones de usuarios registrados y es utilizada por más del 50% de las empresas Fortune 100, incluidas Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs y UBS.

Construya su plano de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a velocidad de IA, qué deben dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.