GitLab : alertes de sécurité sur des vulnérabilités critiques

Le Centre d'expertise gouvernemental de réponse et de traitement des attaques informatiques (CERT-FR) a publié un avis d'alerte concernant plusieurs vulnérabilités affectant les plateformes GitLab Community Edition (CE) et Enterprise Edition (EE). Ces failles, identifiées dans les versions antérieures à 19.0.4, 19.1.2 et 18.11.7, exposent les systèmes à des risques majeurs pour la sécurité des données et l'intégrité des environnements.

Risques identifiés et impacts potentiels

• Atteinte à la confidentialité des données : exploitation possible de failles pour accéder à des informations sensibles.
• Injection de code indirecte à distance (XSS) : risque de compromission des sessions utilisateurs via l'exécution de scripts malveillants.
• Contournement des politiques de sécurité : possibilité de contourner les mécanismes de protection mis en place par l'organisation.

Versions concernées et recommandations

Les systèmes impactés incluent toutes les versions de GitLab CE et EE antérieures aux correctifs suivants :

• 19.0.x avant 19.0.4
• 19.1.x avant 19.1.2
• Toutes versions antérieures à 18.11.7

Le CERT-FR recommande de se référer au bulletin de sécurité de l'éditeur pour appliquer les correctifs disponibles sans délai.

Mesures immédiates à mettre en œuvre

Les organisations utilisant GitLab doivent procéder à une mise à jour urgente de leurs instances pour neutraliser les vulnérabilités exploitées. Une revue des politiques de sécurité et des contrôles d'accès est également préconisée afin de limiter les risques résiduels.

Source : ANSSI / CERT-FR — Alertes & avis