ГК Softline – о базовом чек-листе для безопасности при работе с GitLab

Осенью GitLab закрыла критическую уязвимость, которая позволяла удаленно выполнить произвольный код на сервере без авторизации.

GitLab активно используют команды разработки в компаниях разного масштаба. Многие размещают его на собственных серверах внутри периметра, желая держать исходные тексты и конвейеры сборки под своим контролем. Такие системы обычно годами работают на одной версии. Уязвимости в интерпретаторе языка могут быть использованы злоумышленниками для вмешательства в работу веб-сервера, а значит, и для компрометации инфраструктуры в организации.

Мы в Softline отмечаем, что для обеспечения защиты компаниям следует переходить на исправленные выпуски: Ruby 3.3.13, 3.4.12 или 4.0.9 и соответствующую версию GitLab из списка, который опубликовал разработчик. Если сразу остановить сервис и установить обновление невозможно, на время подготовки рекомендуется закрыть доступ извне через VPN или фильтрацию на периметре.

Кроме того, следует включить правила веб-экрана для подозрительных запросов, проверить журналы на необычную активность и пересмотреть места, где пользовательский ввод попадает в регулярные выражения. Руководителям в сфере ИБ необходимо обеспечивать регулярный мониторинг платформы для совместной разработки ПО и своевременное обновление.