GitLab ha lanzado parches de emergencia para abordar una vulnerabilidad crítica identificada como CVE-2025-2867, que afectaba a su asistente de inteligencia artificial, GitLab Duo. Esta falla permitía a atacantes inyectar instrucciones ocultas en solicitudes de fusión, issues o incluso en el código fuente, lo que podía resultar en la exfiltración de fragmentos de código privado o en la inyección de contenido malicioso en las respuestas generadas por la IA.
¿En qué consistía la vulnerabilidad?
La vulnerabilidad residía en la forma en que GitLab Duo procesaba el contexto no estructurado. Un atacante podía insertar instrucciones maliciosas ocultas mediante técnicas como comentarios blancos, texto codificado en Base16 o manipulación con Unicode smuggling. Cuando Duo procesaba este contexto, obedecía las órdenes maliciosas, lo que podía llevar a:
- Exfiltrar fragmentos de código privado a servidores controlados por el atacante.
- Inyectar HTML o JavaScript en las respuestas, redirigiendo a los desarrolladores a sitios de phishing o paquetes maliciosos.
Todas las ediciones CE/EE desde la versión 17.8 hasta la 17.10.0 inclusive estaban expuestas a este tipo de ataque.
Parches disponibles
El 26 de marzo de 2025, GitLab publicó las versiones corregidas:
- 17.8.6
- 17.9.3
- 17.10.1
Se recomienda a todos los usuarios actualizar a la versión correspondiente para mitigar esta vulnerabilidad.
Recomendaciones adicionales
- Si la actualización inmediata no es posible, deshabilitar GitLab Duo estableciendo la variable
GITLAB_DUO_DISABLED=truey limitar su uso a repositorios públicos. - Revisar los registros de Duo y el tráfico saliente en busca de respuestas que incluyan URLs o código fuera del dominio corporativo.
- Implementar filtros que bloqueen texto oculto o codificado en comentarios y descripciones.
Esta vulnerabilidad resalta la importancia de una gestión cuidadosa de las herramientas de inteligencia artificial en entornos de desarrollo, especialmente en lo que respecta al procesamiento de entradas no estructuradas. La comunidad de desarrolladores debe permanecer vigilante y aplicar las actualizaciones de seguridad proporcionadas por los proveedores para proteger la integridad y confidencialidad de sus proyectos.
Para más información, consulte el aviso oficial de GitLab y las recomendaciones de seguridad proporcionadas por Hispasec.
