Confira a seguir todos os boletins de segurança relacionados ao Developer Connect.
Para receber os boletins de segurança mais recentes:
- Adicione o URL desta página ao seu leitor de feeds.
- Adicione o URL do feed diretamente ao seu leitor de feeds.
GCP-2026-048
Publicado em: 13/07/2026
Descrição
| Descrição | Gravidade | Observações |
|---|---|---|
|
Ao criar ou atualizar conexões de repositório, o Developer Connect usa secrets do Secret Manager para autenticar provedores Git de terceiros. Para conexões do GitLab Enterprise (GLE) e do Bitbucket Data Center (BBDC), esses segredos referenciados eram recuperados pelo agente de serviço do Developer Connect (P4SA) em seu nome. Isso significava que as verificações de permissão eram realizadas com base nas credenciais da P4SA em vez das do principal de chamada. Isso pode permitir que um principal com permissões limitadas leia segredos referenciados do Secret Manager apontando o URI do host de conexão do repositório para um endpoint controlado por um invasor. Para reduzir essa vulnerabilidade e aderir ao princípio de segurança do menor privilégio, o Developer Connect agora verifica as permissões em relação às credenciais do principal de chamada (usando credenciais do usuário final) e à P4SA ao chamar APIs de conexão de repositório para conexões do GitLab Enterprise (GLE) e do Bitbucket Data Center (BBDC). Especificamente, o servidor agora verifica se o
chamador e a P4SA têm a permissão O que devo fazer? Nenhuma ação é necessária para conexões de repositório atuais. Se você encontrar erros de permissão ao criar ou atualizar conexões de repositório do GitLab Enterprise (GLE) ou do Bitbucket Data Center (BBDC), conceda a função de Leitor de secrets do Secret Manager ( Quais vulnerabilidades são corrigidas por esse patch? Essa vulnerabilidade permitia que usuários com acesso de administrador à conexão do repositório lessem secrets referenciados do Secret Manager porque as verificações de permissão eram realizadas apenas nas credenciais da P4SA. Ao exigir verificações de permissão no principal de chamada (usando credenciais do usuário final) e na P4SA para conexões do GitLab Enterprise (GLE) e do Bitbucket Data Center (BBDC), somente os usuários autorizados com a permissão |
Médio |