GitLab a publié des mises à jour de sécurité pour corriger deux vulnérabilités critiques, dont une qui pourrait être exploitée pour prendre le contrôle de comptes sans aucune interaction de l’utilisateur.
Suivi comme CVE-2023-7028la faille a reçu la gravité maximale de 10,0 sur le système de notation CVSS et pourrait faciliter la prise de contrôle de compte en envoyant des e-mails de réinitialisation de mot de passe à une adresse e-mail non vérifiée.
La plateforme DevSecOps a déclaré que la vulnérabilité était le résultat d’un bug dans le processus de vérification des e-mails, qui permettait aux utilisateurs de réinitialiser leur mot de passe via une adresse e-mail secondaire.
Cela affecte toutes les instances autogérées de GitLab Community Edition (CE) et Enterprise Edition (EE) utilisant les versions ci-dessous :
- 16.1 avant 16.1.6
- 16.2 avant 16.2.9
- 16.3 avant 16.3.7
- 16.4 avant 16.4.5
- 16.5 avant 16.5.6
- 16.6 avant 16.6.4
- 16.7 avant 16.7.2
GitLab a déclaré avoir résolu le problème dans les versions 16.5.6, 16.6.4 et 16.7.2 de GitLab, en plus de rétroporter le correctif vers les versions 16.1.6, 16.2.9, 16.3.7 et 16.4.5. La société a en outre noté que le bug avait été introduit dans la version 16.1.0 le 1er mai 2023.
« Au sein de ces versions, tous les mécanismes d’authentification sont impactés », GitLab dit. « De plus, les utilisateurs pour lesquels l’authentification à deux facteurs est activée sont vulnérables à la réinitialisation du mot de passe, mais pas au piratage du compte, car leur deuxième facteur d’authentification est requis pour se connecter. »
Une autre faille critique (CVE-2023-5356, score CVSS : 9,6) a également été corrigée par GitLab dans le cadre de la dernière mise à jour. Mou/Le plus important intégrations pour exécuter des commandes slash en tant qu’autre utilisateur.
Pour atténuer toute menace potentielle, il est conseillé de mettre à niveau les instances vers une version corrigée dès que possible et d’activer 2FA, si ce n’est déjà fait, en particulier pour les utilisateurs disposant de privilèges élevés.