GitLab a corrigé une vulnérabilité de gravité élevée que des attaquants non authentifiés pouvaient exploiter pour prendre le contrôle de comptes d’utilisateurs lors d’attaques de script intersite (XSS).
La faille de sécurité (identifiée comme CVE-2024-4835) est une faiblesse XSS de l’éditeur de code VS (IDE Web) qui permet aux auteurs de menaces de voler des informations restreintes à l’aide de pages conçues de manière malveillante.
Bien qu’ils puissent exploiter cette vulnérabilité dans des attaques qui ne nécessitent pas d’authentification, l’interaction de l’utilisateur est toujours nécessaire, ce qui augmente la complexité des attaques.
« Aujourd’hui, nous publions les versions 17.0.1, 16.11.3 et 16.10.6 pour GitLab Community Edition (CE) et Enterprise Edition (EE) », a déclaré GitLab.
« Ces versions contiennent d’importants correctifs de bogues et de sécurité, et nous recommandons fortement que toutes les installations de GitLab soient immédiatement mises à niveau vers l’une de ces versions. »
Mercredi, la société a également corrigé six autres failles de sécurité de gravité moyenne, notamment une falsification de requête intersite (CSRF) via le serveur d’agent Kubernetes (CVE-2023-7045) et un bogue de déni de service qui peut permettre aux attaquants de perturber le chargement des ressources Web GitLab (CVE-2024-2874).
| Vulnérabilité | Gravité |
|---|---|
| prise de contrôle de compte en 1 clic via XSS en tirant parti de l’éditeur de code VS (IDE Web) | Élevé |
| Une vulnérabilité DOS dans le champ ‘description’ du coureur | Moyen |
| Intégration du cluster CSRF via K8s | Moyen |
| L’utilisation incorrecte de Définir l’état du pipeline d’une API de validation crée un nouveau pipeline | Moyen |
| Modifications sur l’API/la page de rendu wiki | Moyen |
| Épuisement des ressources et déni de service avec les appels d’API test_report | Moyen |
| L’utilisateur invité peut afficher les listes de dépendances des projets privés via des artefacts de travail | Moyen |
Bug de détournement de compte plus ancien activement exploité dans les attaques
GitLab est une cible populaire car il est connu pour héberger divers types de données sensibles, y compris des clés API et du code propriétaire.
Par conséquent, les comptes GitLab détournés peuvent avoir un impact significatif, y compris des attaques de la chaîne d’approvisionnement, si les attaquants insèrent du code malveillant dans des environnements CI/CD (Intégration Continue/Déploiement Continu), compromettant les référentiels d’une organisation.
Comme CISA l’a averti plus tôt ce mois-ci, les acteurs de la menace exploitent maintenant activement une autre vulnérabilité de piratage de compte sans clic corrigée par GitLab en janvier.
Suivi sous le numéro CVE-2023-7028, cette faille de sécurité de gravité maximale permet aux attaquants non authentifiés de prendre le contrôle des comptes GitLab via des réinitialisations de mot de passe.
Même si Shadowserver a découvert plus de 5 300 instances GitLab vulnérables exposées en ligne en janvier, moins de la moitié (2 084) sont encore accessibles pour le moment.
CISA a ajouté CVE-2023-7028 à son Catalogue de vulnérabilités exploitées connues le 1er mai, ordonnant aux agences fédérales américaines de sécuriser leurs systèmes dans les trois semaines avant le 22 mai.