I token email di GitLab nei README possono consentire agli attaccanti di inviare codice

Gli indirizzi email privati di GitLab, una funzionalità integrata pensata per consentire agli sviluppatori di creare issue o attività via email, sono stati trovati esposti in documentazione pubblica su numerosi progetti, secondo il rapporto di BleepingComputer del 24 settembre 2026 su una ricerca della società di sicurezza delle applicazioni Aikido. Gli indirizzi fanno parte di una funzionalità di GitLab chiamata "Email work item to this project" e contengono un token di lunga durata legato all'account dello sviluppatore.

La funzionalità genera automaticamente questi indirizzi privati. Ogni indirizzo contiene una stringa segreta che funziona come una password e, quando un client esterno invia un'email a uno di essi, GitLab analizza il messaggio e lo trasforma in una issue o attività di progetto. Aikido ha trovato diversi indirizzi privati in README pubblici, guide per i contributori e pagine di supporto, e i ricercatori avvertono che il rischio associato è serio. Un attaccante che conosce un tale indirizzo può usarlo per compromettere account GitLab in modi che permettono di inviare codice a branch protetti di repository privati, rubare codice sorgente, raccogliere segreti dalle variabili CI/CD o accedere a issue riservate.

L'analisi di Aikido mostra che ogni indirizzo privato incorpora una stringa "glimt-" che funge da credenziale per accedere al progetto. La stessa credenziale persiste in tutti gli indirizzi simili generati per quel progetto. Secondo i ricercatori, cambiare il suffisso "-issue" nell'indirizzo email in "-merge-request" fa sì che GitLab apra una merge request. In linea di principio, verificare che l'indirizzo del mittente corrisponda all'email del proprietario del token aggiungerebbe un livello di difesa, ma GitLab attualmente non lo fa, sebbene l'azienda stia ora considerando la cosa. I ricercatori affermano anche che qualsiasi casella di posta su Internet può inviare a quell'indirizzo e GitLab elabora il messaggio come se fosse del proprietario del token. I test di Aikido hanno dimostrato che l'attacco aggira anche le restrizioni sugli indirizzi IP.

Il livello di accesso dipende dai permessi dell'account che possiede il token. Un attaccante potrebbe usarlo per inviare codice a branch protetti, eseguire job CI/CD, accedere a repository privati o ottenere segreti da variabili memorizzate. Le variabili CI/CD sono impostazioni utilizzate da pipeline automatizzate di build, test e deployment che spesso contengono password e altri segreti. Aikido osserva che, oltre alla restrizione dei permessi, che non può essere aggirata, un attaccante ha anche bisogno del percorso e dell'ID del progetto target. Nei progetti pubblici queste informazioni sono disponibili pubblicamente, mentre nei progetti privati l'ID può essere forzato con tentativi ripetuti, ovvero indovinato ripetutamente finché non si trova quello giusto, ma il percorso dovrebbe essere trapelato.

La documentazione di GitLab avverte che questi indirizzi sono privati e "generati solo per te". Dice agli utenti di tenere l'indirizzo per sé perché chiunque lo conosca può creare issue o merge request come se fosse il proprietario, e di reimpostare immediatamente il token se sospettano che sia trapelato. In un pomeriggio, i ricercatori di Aikido hanno trovato una dozzina di indirizzi email in entrata di GitLab attivi in README pubblici, guide per i contributori e pagine di supporto. I ricercatori affermano che gli indirizzi erano stati deliberatamente inclusi nella documentazione pubblica per raccogliere segnalazioni di bug dagli utenti. In molti casi l'esposizione ha riguardato progetti open source popolari, creando rischi per la catena di approvvigionamento per vaste basi di utenti. Alcuni appartenevano a progetti open source molto popolari, ha detto Aikido. Aikido ha segnalato il problema a GitLab tramite HackerOne, una piattaforma per segnalare vulnerabilità di sicurezza, a maggio 2026, ma GitLab lo ha chiuso come comportamento previsto. Una seconda notifica a giugno 2026 ha spinto GitLab ad aggiornare la sua interfaccia utente per menzionare le merge request, rimuovere affermazioni false sull'accesso ai dati del token e documentare che l'email in entrata aggira le restrizioni IP. I manutentori dei progetti dovrebbero smettere di esporre volontariamente tali informazioni nella documentazione pubblica e reimpostare i token per i progetti in cui le hanno esposte in passato.

Per i proprietari di siti web e i team IT che mantengono codice o documentazione pubblici, la conclusione pratica è trattare qualsiasi indirizzo email di progetto come una credenziale, non come un contatto pubblico. AEU-I, il servizio di consulenza IT e infrastrutturale orientato alla sicurezza di AEU Group, può aiutare le organizzazioni a rivedere il proprio codice e la documentazione pubblici per individuare token di progetto esposti prima che un attaccante li trovi. La migliore difesa è rimuovere gli indirizzi dalle pagine pubbliche e reimpostare eventuali token che vi sono già apparsi.