GitLab a livr\u00e9 une nouvelle s\u00e9rie de mises \u00e0 jour pour combler les failles de s\u00e9curit\u00e9 de sa plateforme de d\u00e9veloppement logiciel, notamment un bug critique qui permet \u00e0 un attaquant d’ex\u00e9cuter des t\u00e2ches de pipeline en tant qu’utilisateur arbitraire.<\/p>\n
Identifi\u00e9e comme CVE-2024-6385, la vuln\u00e9rabilit\u00e9 porte un score CVSS de 9,6 sur un maximum de 10,0.<\/p>\n
\u00ab Un probl\u00e8me a \u00e9t\u00e9 d\u00e9couvert dans GitLab CE\/EE affectant les versions 15.8 ant\u00e9rieures \u00e0 16.11.6, 17.0 ant\u00e9rieures \u00e0 17.0.4 et 17.1 ant\u00e9rieures \u00e0 17.1.2, ce qui permet \u00e0 un attaquant de d\u00e9clencher un pipeline sous le nom d’un autre utilisateur dans certaines circonstances \u00bb, a indiqu\u00e9 la soci\u00e9t\u00e9. dit<\/a> dans un avis publi\u00e9 mercredi.<\/p>\n Il convient de noter que la soci\u00e9t\u00e9 a corrig\u00e9 un bug similaire \u00e0 la fin du mois dernier (CVE-2024-5655, score CVSS\u00a0: 9,6) qui pourrait \u00e9galement \u00eatre utilis\u00e9 comme arme pour ex\u00e9cuter des pipelines sous le nom d’autres utilisateurs.<\/p>\n GitLab a \u00e9galement abord\u00e9 un probl\u00e8me de gravit\u00e9 moyenne (CVE-2024-5257, score CVSS\u00a0: 4,9) qui permet \u00e0 un utilisateur d\u00e9veloppeur disposant des autorisations admin_compliance_framework de modifier l’URL d’un espace de noms de groupe.<\/p>\n Toutes les failles de s\u00e9curit\u00e9 ont \u00e9t\u00e9 corrig\u00e9es dans les versions 17.1.2, 17.0.4 et 16.11.6 de GitLab Community Edition (CE) et Enterprise Edition (EE).<\/p>\n Cette r\u00e9v\u00e9lation intervient alors que Citrix lib\u00e9r\u00e9<\/a> mises \u00e0 jour pour une faille d’authentification critique et incorrecte affectant NetScaler Console (anciennement NetScaler ADM), NetScaler SDX et NetScaler Agent (CVE-2024-6235, score CVSS\u00a0: 9,4) qui pourrait entra\u00eener la divulgation d’informations.<\/p>\n Des correctifs ont \u00e9galement \u00e9t\u00e9 publi\u00e9s par Broadcom pour deux vuln\u00e9rabilit\u00e9s d’injection de gravit\u00e9 moyenne dans Directeur du cloud VMware<\/a> (CVE-2024-22277, score CVSS\u00a0: 6,4) et Automatisation de VMware Aria<\/a> (CVE-2024-22280, score CVSS\u00a0: 8,5) qui pourrait \u00eatre utilis\u00e9 de mani\u00e8re abusive pour ex\u00e9cuter du code malveillant \u00e0 l’aide de balises HTML et de requ\u00eates SQL sp\u00e9cialement con\u00e7ues, respectivement.<\/p>\n Ces d\u00e9veloppements font \u00e9galement suite \u00e0 un nouveau bulletin publi\u00e9 par l’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) et le Federal Bureau of Investigation (FBI), exhortant les fabricants de technologies \u00e0 \u00e9liminer les failles d’injection de commandes du syst\u00e8me d’exploitation (OS) dans les logiciels qui permettent aux acteurs de la menace d’ex\u00e9cuter du code \u00e0 distance sur les p\u00e9riph\u00e9riques de r\u00e9seau.<\/p>\n De telles failles surviennent lorsque les entr\u00e9es de l\u2019utilisateur ne sont pas correctement nettoy\u00e9es et valid\u00e9es lors de la construction des commandes \u00e0 ex\u00e9cuter sur le syst\u00e8me d\u2019exploitation sous-jacent, permettant ainsi \u00e0 un adversaire de faire passer en contrebande des commandes arbitraires pouvant conduire au d\u00e9ploiement de logiciels malveillants ou au vol d\u2019informations.<\/p>\n \u00ab Les vuln\u00e9rabilit\u00e9s li\u00e9es \u00e0 l’injection de commandes du syst\u00e8me d’exploitation peuvent depuis longtemps \u00eatre \u00e9vit\u00e9es en s\u00e9parant clairement la saisie de l’utilisateur du contenu d’une commande \u00bb, ont d\u00e9clar\u00e9 les agences. dit<\/a>. \u00ab Malgr\u00e9 cette d\u00e9couverte, les vuln\u00e9rabilit\u00e9s d’injection de commandes du syst\u00e8me d’exploitation, dont beaucoup r\u00e9sultent de CWE-78<\/a> \u2014 constituent toujours une cat\u00e9gorie de vuln\u00e9rabilit\u00e9 r\u00e9pandue. \u00bb<\/p>\n Il s’agit de la troisi\u00e8me alerte de ce type \u00e9mise par la CISA et le FBI depuis le d\u00e9but de l’ann\u00e9e. Les agences avaient d\u00e9j\u00e0 envoy\u00e9 deux autres alertes sur la n\u00e9cessit\u00e9 d’\u00e9liminer Injection SQL<\/a> (SQLi) et vuln\u00e9rabilit\u00e9s de travers\u00e9e de chemin<\/a> en mars et mai 2024.<\/p>\n Le mois dernier, la CISA, en collaboration avec les agences de cybers\u00e9curit\u00e9 du Canada et de la Nouvelle-Z\u00e9lande, a \u00e9galement publi\u00e9 des directives recommandant aux entreprises d\u2019adopter des solutions de s\u00e9curit\u00e9 plus robustes, telles que Confiance z\u00e9ro<\/a>Service Edge s\u00e9curis\u00e9 (SSE<\/a>) et le service d’acc\u00e8s s\u00e9curis\u00e9 Edge (SASE<\/a>) \u2014 qui offrent une meilleure visibilit\u00e9 de l\u2019activit\u00e9 du r\u00e9seau.<\/p>\n \u00ab En utilisant des politiques de contr\u00f4le d’acc\u00e8s bas\u00e9es sur les risques pour prendre des d\u00e9cisions via des moteurs de d\u00e9cision politique, ces solutions int\u00e8grent la s\u00e9curit\u00e9 et le contr\u00f4le d’acc\u00e8s, renfor\u00e7ant la convivialit\u00e9 et la s\u00e9curit\u00e9 d’une organisation gr\u00e2ce \u00e0 des politiques adaptatives \u00bb, ont d\u00e9clar\u00e9 les agences auteurs. not\u00e9<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/GitLab-corrige-une-faille-critique-autorisant-des-taches-de-pipeline.png\")
<\/a><\/center><\/div>\nLa CISA publie des bulletins pour rem\u00e9dier aux failles logicielles<\/h3>\n
<\/a><\/center><\/section>\n