GitLab Lança Atualização de Segurança para Corrigir XSS e DoS em Instâncias
GitLab corrige 15 vulnerabilidades, incluindo XSS crítico e DoS em APIs. Versões 18.9.2, 18.8.6 e 18.7.6 disponíveis. Instâncias auto-gerenciadas devem atualizar.
Tag
Tag: ci-cd
56 notícia(s) relacionada(s).
Reunimos nesta página as publicações do Hack Alerta relacionadas a ci-cd.
Malware em Crates Rust de Time-Related Compromete Pipelines CI/CD e Rouba Segredos de Desenvolvedores
Cinco crates maliciosos de Rust disfarçados de utilitários de tempo roubam dados .env. Ameaça a pipelines CI/CD e segredos de desenvolvedores.
Worm SANDWORMMODE ataca npm com 19 pacotes maliciosos para roubar segredos
Worm SANDWORMMODE ataca o ecossistema npm com 19 pacotes maliciosos que roubam segredos de dev/CI e se propagam automaticamente. A campanha usa typosquatting, GitHub Actions envenenadas e agora também mira ferramentas de IA como Claude Code e Cursor.
Crypto Scanner: ferramenta open‑source para identificar criptografia vulnerável a quantum
Crypto Scanner, da Quantum Shield Labs, é um CLI open‑source que identifica criptografia vulnerável em código, configs e certificados. Voltado a equipes que precisam mapear ativos antes da migração para algoritmos resistentes a quantum, oferece integração com CI/CD e relatórios JSON/HTML. O anúncio destaca a ameaça "Harvest Now, Decrypt Later" e recomenda testes em staging antes de bloquear commits em produção.
CISA adiciona SSRF no GitLab (CVE-2021-39935) ao catálogo KEV — exploração ativa
A CISA adicionou CVE‑2021‑39935 — uma falha SSRF no CI Lint API do GitLab — ao catálogo Known Exploited Vulnerabilities, indicando exploração ativa. A falha afeta edições Community e Enterprise; a agência exige remediação e recomenda aplicar patches, desativar o CI Lint API se necessário e revisar logs.
Hack na cadeia de suprimento do Notepad++ via provedor de hospedagem
Relatos apontam comprometimento de um provedor de hospedagem que permitiu um ataque à cadeia de suprimento afetando clientes do Notepad++. O acesso teria durado meses e servido para segmentar vítimas; detalhes técnicos e indicadores não foram publicados nas fontes consultadas.
MEDUSA: ferramenta SAST com 74 scanners e regras AI
MEDUSA é um scanner SAST open-source com 74 scanners e 180+ regras focadas em riscos de agentes de IA. Suporta 42+ linguagens, relatórios SARIF/JSON e filtro inteligente para reduzir falsos positivos. Publicação cita performance paralela e capacidades de detecção de CVEs, mas faltam auditorias independentes e métricas reproduzíveis.
Grupo DPRK Konni usa backdoor PowerShell contra devs de blockchain
Pesquisadores atribuem ao grupo DPRK Konni um novo backdoor em PowerShell voltado a ambientes de desenvolvimento de blockchain, visando chaves e ativos de criptomoeda. DarkReading não divulga IoCs ou número de vítimas.
Go 1.25.6 e 1.24.12: correções para falhas críticas
O projeto Go liberou Go 1.25.6 e 1.24.12 para corrigir seis vulnerabilidades de alto impacto (DoS, exaustão de memória, vazamento TLS e caminhos que permitem execução de código via toolchain). A recomendação é atualizar imediatamente e auditar pipelines de build.
CodeBreach: misconfiguração no AWS CodeBuild expôs repositórios
Pesquisadores da Wiz identificaram uma misconfiguração no AWS CodeBuild, batizada de CodeBreach, que poderia ter permitido alteração de repositórios do próprio AWS no GitHub, incluindo o AWS JavaScript SDK. A falha foi corrigida pela AWS em setembro de 2025 após divulgação responsável.