GitLab a publié des mises à jour de sécurité cruciales pour ses éditions Community et Enterprise afin de contrecarrer deux vulnérabilités critiques.. L'une de ces vulnérabilités présente le potentiel de piratage de compte sans interaction de l'utilisateur., représentant une menace importante pour les organisations qui s'appuient sur GitLab pour leur plateforme DevSecOps.
CVE-2023-7028 (Gravité: 10/10)
Le problème de sécurité le plus grave, suivi comme CVE-2023-7028, se démarque par un score de gravité maximum de 10 de 10.
Ce Faille de GitLab permet la prise de contrôle de compte sans aucune interaction de l'utilisateur, créant un risque sérieux pour les organisations. La vulnérabilité réside dans un problème d'authentification qui permet d'envoyer des demandes de réinitialisation de mot de passe à des destinataires arbitraires., adresses e-mail non vérifiées. Même si l'authentification à deux facteurs (2FA) c'est actif, une réinitialisation du mot de passe est possible, mais une connexion réussie nécessite toujours le deuxième facteur d'authentification.
CVE-2023-7028 a été découvert et signalé par le chercheur en sécurité 'Asterion’ via la plateforme de bug bounty HackerOne. Introduit en mai 1, 2023, avec version 16.1.0, cela impacte plusieurs versions, y compris ceux antérieurs à 16.7.2. GitLab encourage fortement les utilisateurs à mettre à jour vers les versions corrigées (16.7.2, 16.5.6, et 16.6.4) ou appliquer le correctif rétroporté aux versions 16.1.6, 16.2.9, et 16.3.7.
CVE-2023-5356 (Gravité: 9.6/10)
La deuxième vulnérabilité critique, identifié comme CVE-2023-5356, porte un score de gravité de 9.6 de 10. Cette faille permet aux attaquants d'exploiter les intégrations Slack/Mattermost, exécuter des commandes slash en tant qu'autre utilisateur. Dans Mattermost et Slack, Les commandes slash jouent un rôle crucial dans l'intégration d'applications externes et l'appel d'applications dans la boîte de composition du message..
En plus de ces vulnérabilités critiques, GitLab a résolu divers autres problèmes dans sa dernière version, version 16.7.2, Y compris:
CVE-2023-4812: Contournement des PROPRIÉTAIRES DE CODE (Gravité: Élevé)
gitlab ce 15.3 et les versions ultérieures étaient confrontées à une vulnérabilité de haute gravité, noté CVE-2023-4812. Cette faille permettait de contourner l'approbation des CODEOWNERS en manipulant les demandes de fusion précédemment sanctionnées.. Le potentiel de modifications non autorisées représentait un risque important pour l'intégrité du système de contrôle de version..
CVE-2023-6955: Contrôle d'accès aux espaces de travail (Gravité: Notable)
Versions de GitLab antérieures 16.7.2 a fait preuve d'un contrôle d'accès inapproprié concernant les espaces de travail, comme souligné dans CVE-2023-6955. Cette faille a permis aux attaquants de créer un espace de travail au sein d'un groupe, l'associer à un agent d'un groupe totalement différent. Les implications d'une telle création d'espace de travail non autorisée ont introduit une vulnérabilité notable dans l'architecture de sécurité de GitLab..
CVE-2023-2030: Validation de la signature de validation (Gravité: Significatif)
Une faille de validation de signature de commit, classé sous CVE-2023-2030, versions GitLab CE/EE affectées à partir de 12.2 et en avant. Cette faille présentait un risque important en permettant la modification des métadonnées associées aux commits signés en raison d'insuffisances dans le processus de validation des signatures.. La manipulation potentielle des métadonnées de validation a soulevé des inquiétudes quant à l'intégrité et à l'authenticité globales du code contrôlé en version..
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: