La plataforma GitLab, usada por miles de empresas para custodiar su código fuente, sufre una vulnerabilidad crítica. Un fallo en su sistema GraphQL permite que cualquier atacante, sin necesidad de credenciales, elimine proyectos públicos completos. Esto implica que servicios y aplicaciones que la ciudadanía usa a diario, como webs de banca o tiendas online, podrían desaparecer de golpe si sus desarrolladores no aplican el parche de seguridad con urgencia.
El agujero en GraphQL que deja la puerta abierta 🚪
El fallo reside en la capa de consultas GraphQL de GitLab, específicamente en la gestión de mutaciones. Una petición manipulada puede saltarse la autenticación y ejecutar la orden de borrado sobre cualquier repositorio público. La compañía ya ha lanzado versiones corregidas para todas las ediciones, incluyendo la Community y Enterprise. La recomendación es clara: actualizar a la última versión disponible de inmediato. No hacerlo expone el trabajo de años a un ataque trivial que no requiere ni siquiera registrarse en la plataforma.
Tu código, tu esfuerzo, y un borrado express 🗑️
Uno pensaría que para borrar algo tan valioso como el código fuente de una empresa haría falta al menos una contraseña, una tarjeta de acceso o un ritual con velas. Pero no, con GitLab basta con una petición bien formada y un poco de mala leche. Es como si un desconocido pudiera entrar en tu casa y tirar a la basura todos tus discos duros sin ni siquiera llamar al timbre. Actualicen, o prepárense para explicar a su jefe que el proyecto estrella se esfumó por no pulsar el botón de actualizar.