Urgent : GitLab publie un correctif pour les vulnérabilités critiques – Mettre à jour dès que possible


12 janvier 2024RédactionDevSecOps / Sécurité logicielle

GitLab a publié des mises à jour de sécurité pour corriger deux vulnérabilités critiques, dont une qui pourrait être exploitée pour prendre le contrôle de comptes sans aucune interaction de l’utilisateur.

Suivi comme CVE-2023-7028la faille a reçu la gravité maximale de 10,0 sur le système de notation CVSS et pourrait faciliter la prise de contrôle de compte en envoyant des e-mails de réinitialisation de mot de passe à une adresse e-mail non vérifiée.

La plateforme DevSecOps a déclaré que la vulnérabilité était le résultat d’un bug dans le processus de vérification des e-mails, qui permettait aux utilisateurs de réinitialiser leur mot de passe via une adresse e-mail secondaire.

La cyber-sécurité

Cela affecte toutes les instances autogérées de GitLab Community Edition (CE) et Enterprise Edition (EE) utilisant les versions ci-dessous :

  • 16.1 avant 16.1.6
  • 16.2 avant 16.2.9
  • 16.3 avant 16.3.7
  • 16.4 avant 16.4.5
  • 16.5 avant 16.5.6
  • 16.6 avant 16.6.4
  • 16.7 avant 16.7.2

GitLab a déclaré avoir résolu le problème dans les versions 16.5.6, 16.6.4 et 16.7.2 de GitLab, en plus de rétroporter le correctif vers les versions 16.1.6, 16.2.9, 16.3.7 et 16.4.5. La société a en outre noté que le bug avait été introduit dans la version 16.1.0 le 1er mai 2023.

La cyber-sécurité

« Au sein de ces versions, tous les mécanismes d’authentification sont impactés », GitLab dit. « De plus, les utilisateurs pour lesquels l’authentification à deux facteurs est activée sont vulnérables à la réinitialisation du mot de passe, mais pas au piratage du compte, car leur deuxième facteur d’authentification est requis pour se connecter. »

Une autre faille critique (CVE-2023-5356, score CVSS : 9,6) a également été corrigée par GitLab dans le cadre de la dernière mise à jour. Mou/Le plus important intégrations pour exécuter des commandes slash en tant qu’autre utilisateur.

Pour atténuer toute menace potentielle, il est conseillé de mettre à niveau les instances vers une version corrigée dès que possible et d’activer 2FA, si ce n’est déjà fait, en particulier pour les utilisateurs disposant de privilèges élevés.

Vous avez trouvé cet article intéressant ? Suivez-nous sur Twitter et LinkedIn pour lire plus de contenu exclusif que nous publions.





ttn-fr-57