Accueil > Alertes du CERT-MC et du CERT-FR > CERTFR-2024-ALE-002_Vulnérabilité dans GitLab

CERTFR-2024-ALE-002_Vulnérabilité dans GitLab

Référence : CERTFR-2024-ALE-002

Risque(s)

- Contournement de la politique de sécurité

Systèmes affectés

- Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.1.x antérieures à 16.1.6

- Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.2.x antérieures à 16.2.9

- Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.3.x antérieures à 16.3.7

- Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.4.x antérieures à 16.4.5

- Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.5.x antérieures à 16.5.6

- Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.6.x antérieures à 16.6.4

- Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.7.x antérieures à 16.7.2

Résumé

Le 11 janvier 2024, l'éditeur a publié un avis de sécurité concernant plusieurs vulnérabilités affectant GitLab CE et EE.

La plus critique est la vulnérabilité CVE-2023-7028. Elle permet à un attaquant non authentifié d'envoyer un courriel de réinitialisation de mot de passe de n'importe quel utilisateur à une adresse arbitraire. L'attaquant peut ainsi, par le biais d'une simple requête HTTP POST, prendre le contrôle d'un compte dont il connaitrait le courriel.

Le score CVSSv3 de la vulnérabilité CVE-2023-7028 est de 10 (sur 10). Son exploitation est triviale et le CERT-FR anticipe la publication de codes d'exploitations publics dans les heures à venir.

L'éditeur recommande de vérifier:
- dans le journal d'activité "gitlab-rails/production_json.log", la présence de requêtes HTTP, sur le chemin "/users/password", contenant plusieurs adresses courriel;
- dans le journal d'activité "gitlab-rails/audit_json.log", la présence d'identifiants correspondant à "PasswordsController#create" avec des "target_details" composé d'un tableau comprenant plusieurs adresses courriel.

Le CERT-FR recommande donc d'appliquer les correctifs dans les plus brefs délais et d'activer l'authentification à multiples facteurs, notamment sur les comptes à hauts privilèges.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité GitLab du 11 janvier 2024
https://about.gitlab.com/releases/2024/01/11/critical-security-release-gitlab-16-7-2-released/  
Avis CERT-FR CERTFR-2024-AVI-0030 du 12 janvier 2024
https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0030/  
Référence CVE CVE-2023-7028
https://www.cve.org/CVERecord?id=CVE-2023-7028  

Dernière version du document

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2024-ALE-002/

CERTFR-2024-ALE-005_Vulnerabilite dans Microsoft Outlook

15 février 2024
actualite

Objet : Vulnérabilité dans Microsoft OutlookRéférence : CERTFR-2024-ALE-005Risque(s) - Exécution de code arbitraire à distance- Atteinte à la confi... Lire la suite[+]

CERTFR-2024-ALE-004_Vulnerabilite dans Fortinet FortiOS

09 février 2024
actualite

Objet : Vulnérabilité dans Fortinet FortiOSRéférence : CERTFR-2024-ALE-004Risque(s)- Exécution de code arbitraire à distanceSystèmes affectés - For... Lire la suite[+]

Contact

Agence Monégasque de Sécurité Numérique
24 rue du Gabian 
98000 MONACO

AMSN_contact@gouv.mc

Téléphone : (+377) 98 98 24 93


Bouton Alertes CSIRT-MC


       INFORMATIONS            PRATIQUES
Demande d'autorisation loi n°1.383
Conseils élémentaires
//amsn.gouv.mc/Alertes-du-CERT-MC-et-du-CERT-FR/CERTFR-2024-ALE-002_Vulnerabilite-dans-GitLab