Vulnérabilité d’exécution de code à distance sur GitLab

  • Auteur/autrice de la publication :
  • Post category:Alertes et Avis

Origine: bjCSIRT

Numéro: 2022/ALERTE/025

Date de l’alerte: 08/07/2022

APERÇU :

Une vulnérabilité d’exécution de code à distance, libellée CVE-2022-2185, a été répertoriée sur GitLab et permettrait à un attaquant d’exécuter de façon arbitraire du code malveillant à distance.

DESCRIPTION :

GitLab est un logiciel libre et une plateforme collaborative qui permet de planifier des projets, de gérer le code source et la sécurité des logiciels en cours de développement. GitLab utilise « Git » comme outil de gestion de code pour accéder à des projets publics ou privés via une interface Web.

CVE-2022-2185 : est une vulnérabilité dont l’impact est jugé Critique (score CVSS 9,9). Elle affecte à la fois la version libre et celle d’Entreprise de GitLab. Son exploitation permettrait à un utilisateur autorisé ou non d’exécuter du code arbitraire sur le serveur en utilisant la fonction d’importation de projet.

IMPACT :

  • Compromission de la confidentialité, l’intégrité et de la disponibilité de l’instance ;
  • Prise de contrôle du serveur ;
  • Divulgation d’informations et Vol de données ;
  • Usurpation d’identité .

SYSTEMES AFFECTÉS

  • Toutes les versions inférieures à la version 10.5;
  • Toutes les versions inférieures à la version 0.4 ;
  • Toutes les versions inférieures à la version 15.1.1.

MESURES À PRENDRE :

Il est fortement recommandé d’effectuer une mise à jour vers la dernière version de GitLab.

REFERENCES :

  • https://www.lansweeper.com/vulnerability/gitlab-remote-code-execution-vulnerability-fixed/?utm_campaign=GitLab_Vuln&utm_medium=social&utm_source=youtube
  • https://portswigger.net/daily-swig/gitlab-patches-critical-rce-bug-in-latest-security-release
Partagez sur vos réseaux.