Notícias
RECOMENDAÇÃO 31/2022
[TLP:CLEAR]
1. Foi publicada a existência de vulnerabilidade de segurança na plataforma de DevOps GitLab, conforme descrito na Common Vulnerabilities and Exposures (CVE) abaixo relacionada:
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-2884
- https://nvd.nist.gov/vuln/detail/CVE-2022-2884
2. A vulnerabilidade afeta as versões de 11.3.4 até 15.1.5, de 15.2 até 15.2.3 e de 15.3 até 15.3.1 e permite que um usuário autenticado possa executar códigos remotamente.
3. Observa-se que para efetiva exploração da vulnerabilidade acima, há necessidade de credenciais válidas, obtidas através de ações de engenharia social ou brute force. Assim sendo, ressaltamos a necessidade da ampla divulgação perante público interno, de campanhas tratando a respeito de ameaças associadas à Engenharia Social, assim como medidas para dificultar os ataques à força bruta.
4. Destacamos que muitas instâncias de GitLab armazenam dados críticos de suas organizações e uma vez que o servidor seja comprometido, códigos e dados de projetos também poderão ser acessados e vazados.
5. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) solicita às instituições da Administração Pública Federal (APF) e orienta as demais entidades/instituições, que identifiquem sistemas GitLab vulneráveis sob sua responsabilidade e apliquem com urgência as devidas correções, conforme orientações do mantenedor, disponíveis no link:
6. Além da atualização, recomendamos a execução das melhores práticas de segurança relacionadas ao sistema, disponíveis em:
7. O CTIR Gov, em atenção ao Decreto 10.748/2021, solicita às entidades responsáveis pelas Equipes de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos Setoriais que orientem a constituency de seus respectivos setores sobre o tratado nesta Recomendação. Reforça também que a participação dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional na Rede Federal de Gestão de Incidentes Cibernéticos é obrigatória. Desta forma, o processo de formalização da adesão deverá ser operacionalizado em linha com tal normativo e com as orientações constantes da página eletrônica do CTIR Gov (https://www.gov.br/ctir/pt-br/assuntos/perguntas-frequentes-decreto-10-748-2021/perguntas-frequentes-sobre-o-decreto-10-748-2021).
8. O CTIR Gov ressalta que, de acordo com os artigos 15 e 17 do Decreto Nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação, cada órgão é responsável pela proteção cibernética de seus ativos de informação. Referência:
9. Os alertas e recomendações emitidos pelo CTIR Gov podem ser encontrados em:
10. O CTIR Gov adere ao padrão Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST). Para mais informações, acesse:
Equipe CTIR Gov.
[TLP:CLEAR]