{"id":15987,"date":"2022-03-04T08:58:50","date_gmt":"2022-03-04T10:58:50","guid":{"rendered":"https:\/\/teknomers.com\/fr\/une-nouvelle-vulnerabilite-de-securite-affecte-des-milliers-dinstances-gitlab\/"},"modified":"2022-03-04T08:59:11","modified_gmt":"2022-03-04T10:59:11","slug":"une-nouvelle-vulnerabilite-de-securite-affecte-des-milliers-dinstances-gitlab","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/une-nouvelle-vulnerabilite-de-securite-affecte-des-milliers-dinstances-gitlab\/","title":{"rendered":"Une nouvelle vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 affecte des milliers d’instances GitLab"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Les chercheurs ont r\u00e9v\u00e9l\u00e9 les d\u00e9tails d’une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 d\u00e9sormais corrig\u00e9e dans GitLab, un logiciel DevOps open source, qui pourrait potentiellement permettre \u00e0 un attaquant distant et non authentifi\u00e9 de r\u00e9cup\u00e9rer des informations relatives \u00e0 l’utilisateur.<\/p>\n

Suivie comme CVE-2021-4191 (score CVSS\u00a0: 5,3), la faille de gravit\u00e9 moyenne affecte toutes les versions de GitLab Community Edition et Enterprise Edition \u00e0 partir de 13.0 et toutes les versions \u00e0 partir de 14.4 et ant\u00e9rieures \u00e0 14.8.<\/p>\n

\"Sauvegardes<\/a><\/div>\n

Jake Baines, chercheur principal en s\u00e9curit\u00e9 chez Rapid7, est cr\u00e9dit\u00e9 d’avoir d\u00e9couvert et signal\u00e9 la faille. Suite \u00e0 la divulgation responsable du 18 novembre 2021, des correctifs ont \u00e9t\u00e9 publi\u00e9<\/a> dans le cadre des versions de s\u00e9curit\u00e9 critiques de GitLab 14.8.2, 14.7.4 et 14.6.5 livr\u00e9es le 25 f\u00e9vrier 2022.<\/p>\n

“La vuln\u00e9rabilit\u00e9 est le r\u00e9sultat d’une v\u00e9rification d’authentification manquante lors de l’ex\u00e9cution de certaines requ\u00eates de l’API GitLab GraphQL”, a d\u00e9clar\u00e9 Baines. mentionn\u00e9<\/a> dans un rapport publi\u00e9 jeudi. “Un attaquant distant non authentifi\u00e9 peut utiliser cette vuln\u00e9rabilit\u00e9 pour collecter des noms d’utilisateur, des noms et des adresses e-mail GitLab enregistr\u00e9s.”<\/p>\n

\"\"<\/div>\n

L’exploitation r\u00e9ussie de la fuite d’informations de l’API pourrait permettre \u00e0 des acteurs malveillants d’\u00e9num\u00e9rer et de compiler des listes de noms d’utilisateur l\u00e9gitimes appartenant \u00e0 une cible qui peuvent ensuite \u00eatre utilis\u00e9es comme tremplin pour mener des attaques par force brute, y compris deviner le mot de passe<\/a>, pulv\u00e9risation de mot de passe<\/a>et bourrage d’informations d’identification<\/a>.<\/p>\n

\"Emp\u00eacher<\/a><\/div>\n

“La fuite d’informations permet \u00e9galement potentiellement \u00e0 un attaquant de cr\u00e9er une nouvelle liste de mots d’utilisateur bas\u00e9e sur les installations de GitLab – non seulement \u00e0 partir de gitlab.com mais \u00e9galement \u00e0 partir des 50 000 autres instances de GitLab accessibles depuis Internet”, a d\u00e9clar\u00e9 Baines.<\/p>\n

Outre CVE-2021-4191, le correctif corrige \u00e9galement six autres failles de s\u00e9curit\u00e9, dont l’une est un probl\u00e8me critique (CVE-2022-0735, score CVSS\u00a0: 9,6) qui permet \u00e0 un attaquant non autoris\u00e9 de siphonner le jetons d’inscription des coureurs<\/a> utilis\u00e9 pour authentifier et autoriser les t\u00e2ches CI\/CD h\u00e9berg\u00e9es sur des instances GitLab.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Les chercheurs ont r\u00e9v\u00e9l\u00e9 les d\u00e9tails d’une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 d\u00e9sormais corrig\u00e9e dans GitLab, un logiciel DevOps open source, qui pourrait potentiellement permettre \u00e0 un attaquant distant et non authentifi\u00e9 de r\u00e9cup\u00e9rer des informations relatives \u00e0 l’utilisateur. Suivie comme CVE-2021-4191 (score CVSS\u00a0: 5,3), la faille de gravit\u00e9 moyenne affecte toutes les versions de GitLab Community […]<\/p>\n","protected":false},"author":1,"featured_media":15988,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[1132,4168,4158,4165,4161,133,16896,16897,4157,4159,4171,4170,4167,1558,4160,197,4163,4162,1835,4172,4169,196,4166,3667,4164],"class_list":["post-15987","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-affecte","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-des","tag-dinstances","tag-gitlab","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-logiciel-malveillant-de-ransomware","tag-milliers","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelle","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-securite","tag-securite-informatique","tag-securite-internet","tag-une","tag-violation-de-donnees","tag-vulnerabilite","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/15987","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=15987"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/15987\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/15988"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=15987"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=15987"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=15987"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}