GitLab rencontre une vulnérabilité critique.
Une faille critique de dangerosité maximale
GitLab, une plateforme spécialiste en dépôt de code et de solutions DevOps, a récemment corrigé une vulnérabilité critique, enregistrée sous la référence CVE-2023-7028.
Cette faille de sécurité, évaluée avec un score CVSS maximal de 10, permet à un attaquant de réinitialiser le mot de passe d’un compte utilisateur et de prendre le contrôle de celui-ci. Elle affecte GitLab Community Edition (CE) et Enterprise Edition (EE).
Découverte dans le cadre du programme Bug Bounty de GitLab, cette vulnérabilité a été identifiée comme particulièrement dangereuse, et est activement exploitée par des attaquants.
L’exploitation de cette faille se fait à distance, sans interaction de l’utilisateur ciblé. Un attaquant peut déclencher le processus de réinitialisation de mot de passe en recevant le lien de réinitialisation sur une adresse e-mail non vérifiée, de son choix.
Une fois le lien reçu, l’attaquant peut définir un nouveau mot de passe, prenant ainsi le contrôle du compte et disposer des privilèges associés.
La vulnérabilité a été introduite dans GitLab avec la version 16.1.0 sortie le 1er mai 2023, lors de modifications apportées au code pour permettre aux utilisateurs de réinitialiser leur mot de passe via une adresse électronique secondaire.
L’entreprise a également souligné que cette vulnérabilité touchait tous les mécanismes d’authentification.
Mais bien que les utilisateurs avec l’authentification à double facteurs activée soient vulnérables à la réinitialisation du mot de passe, la prise de contrôle du compte nécessite tout de même le deuxième facteur d’authentification.
Outre cette faille, GitLab a également résolu une autre vulnérabilité critique (CVE-2023-5356, score CVSS : 9.6) liée à des manipulations potentielles d’intégrations à Slack/Mattermost, permettant l’exécution de commandes en tant qu’utilisateur différent.
Recommandations : détecter et corriger la vulnérabilité.
Nos experts ont accompagné des clients dans la démarche de correction de cette vulnérabilité.
La première chose à faire est de vérifier quelle version de GitLab est utilisée afin de savoir si elle est sujette à la vulnérabilité. En réponse à cette situation critique, GitLab a rapidement publié des correctifs pour les versions affectées. Les mise à jour sont donc les suivantes :
- 16.1 avant 16.1.5
- 16.2 avant 16.2.8
- 16.3 avant 16.3.6
- 16.4 avant 16.4.4
- 16.5 avant 16.5.6
- 16.6 avant 16.6.4
- 16.7 avant 16.7.2
Afin de sécuriser les instances GitLab, il est nécessaire de réagir rapidement et d’appliquer les correctifs appropriés en fonction de la version détenue.
Nos experts encouragent aussi fortement la mise à jour vers les versions corrigées et recommande l’activation du MFA (authentification à deux facteurs), en particulier pour les comptes administrateurs.
La vulnérabilité étant actuellement activement exploitée.