GitLab ha publicado una actualización de seguridad crítica que corrige múltiples vulnerabilidades en GitLab Community Edition (CE) y Enterprise Edition (EE). Los fallos identificados incluyen cross-site scripting (XSS), denegación de servicio (DoS) y problemas de control de acceso que podrían permitir desde la ejecución de código en el navegador de las víctimas hasta la exposición de información sensible o potencial compromiso de cuentas.
Las correcciones ya están disponibles en las versiones 17.11.1, 17.10.5 y 17.9.7, y el equipo de GitLab recomienda que todas las instalaciones self-managed se actualicen inmediatamente para evitar posibles explotaciones.
Vulnerabilidades de seguridad corregidas
Esta actualización corrige varias vulnerabilidades relevantes que afectaban diferentes componentes de la plataforma.
Vulnerabilidades XSS en Maven Dependency Proxy
Entre los problemas más graves se encuentran dos vulnerabilidades XSS de alta severidad detectadas en el Maven Dependency Proxy.
|
CVE |
Tipo |
Severidad |
Descripción |
|---|---|---|---|
|
CVE-2025-1763 |
XSS |
CVSS 8.7 |
Permite evadir la política de seguridad de contenido (CSP) mediante inyección de scripts |
|
CVE-2025-2443 |
XSS |
Alta |
Vulnerabilidad similar relacionada con encabezados de cache mal configurados |
Un atacante podría explotar estas fallas para inyectar scripts maliciosos en el navegador de un usuario autenticado, lo que potencialmente podría derivar en robo de sesiones o ejecución de acciones no autorizadas.
Riesgo de toma de cuentas mediante encabezados NEL
Otra vulnerabilidad relevante corregida en esta actualización es:
|
CVE |
Tipo |
Severidad |
|---|---|---|
|
CVE-2025-1908 |
Network Error Logging (NEL) Header Injection |
CVSS 7.7 |
Esta falla permitía inyectar encabezados de Network Error Logging, lo que podría ser utilizado por atacantes para monitorear la actividad del navegador de los usuarios y potencialmente facilitar ataques que conduzcan al compromiso de cuentas.
Vulnerabilidad de Denial-of-Service (DoS)
También se solucionó una vulnerabilidad de denegación de servicio relacionada con la funcionalidad de vista previa de issues.
|
CVE |
Tipo |
Severidad |
|---|---|---|
|
CVE-2025-0639 |
Denial of Service |
CVSS 6.5 |
Un atacante podría aprovechar esta debilidad para provocar consumo excesivo de recursos, causando interrupciones en el servicio GitLab.
Problemas de control de acceso
El parche también corrige un problema menor de control de acceso:
|
CVE |
Tipo |
Severidad |
|---|---|---|
|
CVE-2024-12244 |
Improper Access Control |
CVSS 4.3 |
Este error permitía visualizar nombres de ramas incluso cuando los assets del repositorio estaban deshabilitados, lo que podría revelar información sobre el desarrollo interno del proyecto.
Otras mejoras y correcciones incluidas
Además de los parches de seguridad, esta actualización también incluye diversas mejoras técnicas en componentes internos del ecosistema GitLab:
-
Actualización de Go gRPC a versión 1.71.1.
-
Actualización de dependencias en Workhorse y Gitaly para mejorar estabilidad.
-
Correcciones relacionadas con la integración Amazon Q.
-
Ajustes en la ubicación de Mailroom en imágenes UBI.
-
Mejoras en la ejecución de pipelines protegidos mediante feature flags.
Estas mejoras ayudan a reforzar la estabilidad de la plataforma y optimizar el funcionamiento del pipeline de CI/CD.
Versiones corregidas
GitLab recomienda actualizar a las siguientes versiones parcheadas:
|
Versión estable |
Versión parcheada |
|---|---|
|
GitLab 17.11 |
17.11.1 |
|
GitLab 17.10 |
17.10.5 |
|
GitLab 17.9 |
17.9.7 |
Las instancias de GitLab.com ya están protegidas, pero las instalaciones self-managed deben aplicar la actualización manualmente.
Cómo actualizar GitLab en entornos self-managed
En servidores Linux con instalación Omnibus, el procedimiento típico es:
sudo gitlab-backup create sudo apt update sudo apt install gitlab-ee
o para Community Edition:
sudo apt install gitlab-ce
Luego verificar el estado del servicio:
sudo gitlab-ctl status
Y confirmar la versión instalada:
gitlab-rake gitlab:env:info
En entornos críticos se recomienda realizar primero la actualización en staging y validar pipelines y runners antes del despliegue en producción.
Conclusión
Las vulnerabilidades corregidas en esta actualización demuestran nuevamente que las plataformas de desarrollo también son un objetivo prioritario para los atacantes, especialmente cuando forman parte del pipeline CI/CD o contienen repositorios con código sensible.
Para organizaciones que ejecutan GitLab self-managed, aplicar estos parches lo antes posible es fundamental para evitar XSS, ataques DoS o posibles compromisos de cuentas. Mantener el sistema actualizado, auditar logs y restringir accesos externos son prácticas clave para mantener la seguridad del entorno DevOps.
