Les chercheurs ont révélé les détails d’une vulnérabilité de sécurité désormais corrigée dans GitLab, un logiciel DevOps open source, qui pourrait potentiellement permettre à un attaquant distant et non authentifié de récupérer des informations relatives à l’utilisateur.
Suivie comme CVE-2021-4191 (score CVSS : 5,3), la faille de gravité moyenne affecte toutes les versions de GitLab Community Edition et Enterprise Edition à partir de 13.0 et toutes les versions à partir de 14.4 et antérieures à 14.8.
Jake Baines, chercheur principal en sécurité chez Rapid7, est crédité d’avoir découvert et signalé la faille. Suite à la divulgation responsable du 18 novembre 2021, des correctifs ont été publié dans le cadre des versions de sécurité critiques de GitLab 14.8.2, 14.7.4 et 14.6.5 livrées le 25 février 2022.
“La vulnérabilité est le résultat d’une vérification d’authentification manquante lors de l’exécution de certaines requêtes de l’API GitLab GraphQL”, a déclaré Baines. mentionné dans un rapport publié jeudi. “Un attaquant distant non authentifié peut utiliser cette vulnérabilité pour collecter des noms d’utilisateur, des noms et des adresses e-mail GitLab enregistrés.”
L’exploitation réussie de la fuite d’informations de l’API pourrait permettre à des acteurs malveillants d’énumérer et de compiler des listes de noms d’utilisateur légitimes appartenant à une cible qui peuvent ensuite être utilisées comme tremplin pour mener des attaques par force brute, y compris deviner le mot de passe, pulvérisation de mot de passeet bourrage d’informations d’identification.
“La fuite d’informations permet également potentiellement à un attaquant de créer une nouvelle liste de mots d’utilisateur basée sur les installations de GitLab – non seulement à partir de gitlab.com mais également à partir des 50 000 autres instances de GitLab accessibles depuis Internet”, a déclaré Baines.
Outre CVE-2021-4191, le correctif corrige également six autres failles de sécurité, dont l’une est un problème critique (CVE-2022-0735, score CVSS : 9,6) qui permet à un attaquant non autorisé de siphonner le jetons d’inscription des coureurs utilisé pour authentifier et autoriser les tâches CI/CD hébergées sur des instances GitLab.