A CYBERBOX Threat Intel emite alerta urgente sobre a retomada de exploração ativa da vulnerabilidade CVE-2021-39935 no GitLab CE/EE — uma falha de Server-Side Request Forgery (SSRF) originalmente divulgada em 2021, mas que continua afetando milhões de instâncias desatualizadas.
A exploração renovada utiliza ferramentas automatizadas que varrem o espaço IPv4 buscando instâncias GitLab versão 13.x e 14.x vulneráveis. O objetivo primário é exfiltração de credenciais de pipelines CI/CD, tokens de acesso a repositórios e segredos de infraestrutura armazenados em variáveis de ambiente.
Detalhes da Vulnerabilidade
O CVE-2021-39935 permite que um usuário autenticado (com acesso mínimo de Guest) faça requisições SSRF através do recurso de integração de webhooks. O atacante pode:
- Acessar serviços internos na rede do servidor GitLab (metadados cloud, APIs internas)
- Ler o arquivo
gitlab.rbde configuração com credenciais de banco de dados - Acessar o serviço de metadados AWS/GCP/Azure se o GitLab estiver hospedado em cloud
- Pivotar para outros serviços internos via respostas de redirect SSRF
"O mais preocupante não é a vulnerabilidade em si — ela tem 4 anos. É que ainda encontramos grandes organizações brasileiras rodando GitLab versão 13.x em produção, sem qualquer plano de atualização. O risco para a cadeia de suprimentos de software é crítico."
— Equipe CYBERBOX Threat Intel
Impacto Potencial para Supply Chain
Um GitLab comprometido é mais do que um repositório de código — é o centro nervoso do desenvolvimento de software. O comprometimento pode permitir:
- Injeção de código malicioso em pipelines de CI/CD, afetando todos os deployments subsequentes
- Roubo de chaves privadas, tokens OAuth, credenciais de cloud e senhas de bancos de dados
- Acesso a código-fonte proprietário e propriedade intelectual
- Uso da infraestrutura como ponto de pivotamento para ambientes de produção
Remediação
- Atualizar imediatamente para GitLab 17.x (versão atual recomendada)
- Habilitar a lista de bloqueio de IPs internos em Configurações > Rede > Requisições de Saída
- Auditar todos os webhooks configurados e remover endpoints não reconhecidos
- Rotacionar todos os tokens de acesso, deploy keys e variáveis de CI/CD
- Implementar segmentação de rede para que o GitLab não tenha acesso direto a endpoints de metadados cloud