Falsificación de Solicitud del Lado del Servidor (SSRF) en GitLab

La vulnerabilidad SSRF en GitLab EE permite a un atacante, con acceso a la plataforma, explotar la funcionalidad de proxy de dependencias Maven para realizar solicitudes a recursos internos que normalmente no serían accesibles desde el exterior. Esto podría incluir el acceso a bases de datos internas, servicios de administración, o incluso otros sistemas en la red interna. Un atacante podría, por ejemplo, leer archivos de configuración sensibles, ejecutar comandos en sistemas internos (si existen endpoints vulnerables), o recopilar información sobre la infraestructura interna. El impacto potencial es alto, ya que permite el acceso no autorizado a recursos críticos dentro de la red de la organización.

Organizations utilizing GitLab Enterprise Edition (EE) with the Maven Dependency Proxy feature enabled are at risk. This includes development teams relying on custom Maven repositories hosted internally and those using GitLab as a central artifact repository. Legacy GitLab EE installations running versions prior to 17.3.2 are particularly vulnerable.

• gitlab: Examine GitLab logs for outbound requests originating from the Maven Dependency Proxy endpoint that target internal resources.

journalctl -u gitlab-sshd | grep 'Maven Dependency Proxy'

• gitlab: Check the configuration of the Maven Dependency Proxy to ensure it is not overly permissive.

/opt/gitlab/embedded/service/gitlab-rails/config/gitlab.yml | grep 'maven_dependency_proxy'

• generic web: Monitor access logs for requests to the Maven Dependency Proxy endpoint with unusual or unexpected parameters.

grep 'maven_dependency_proxy' /var/log/nginx/access.log

1. 2024-09-12Disclosure

   disclosure

1. Reservado2024-09-09
2. Publicada2024-09-12
3. Modificada2024-09-13
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-8635 es actualizar GitLab EE a la versión 17.3.2 o superior. Si la actualización inmediata no es posible, se recomienda restringir el acceso a la funcionalidad de proxy de dependencias Maven solo a usuarios y sistemas confiables. Además, se puede implementar una WAF (Web Application Firewall) para bloquear solicitudes sospechosas que intenten acceder a recursos internos. Revise la configuración de la URL de proxy de dependencias Maven para asegurar que solo se permitan dominios y protocolos seguros. Después de la actualización, confirme que la funcionalidad de proxy de dependencias Maven está correctamente configurada y que solo se permite el acceso a recursos autorizados.