Le spécialiste en dépôt de code open source et solutions devops GitLab a publié des mises à jour de sécurité pour corriger deux vulnérabilités critiques. L’une d’elles au score CVSS de 10 pourrait être exploitée débouchant sur de la prise de contrôle de comptes sans interaction utilisateur.
Les failles de sécurité au score CVSS de 10 ne courent pas les rues tant que cela. Après la CVE-2023-2825 de mai dernier, le spécialiste en dépôt de code open source et solutions devops Gitlab vient d’en corriger une autre. Répertorié en tant que CVE-2023-7028, ce trou de sécurité comblé par l’éditeur pourrait faciliter la prise de contrôle d’un compte en envoyant des courriels de réinitialisation de mot de passe à une adresse électronique non vérifiée. Il faut donc appliquer sans tarder le correctif de cette vulnérabilité.
GitLab a indiqué avoir résolu le problème dans les versions 16.5.6, 16.6.4 et 16.7.2 de ses offres Community et Enterprise, ainsi que dans les mises à jour 16.1.6, 16.2.9, 16.3.7 et 16.4.5. La société a également indiqué que cette faille était présente depuis la version 16.1.0 de sa solution du 1er mai dernier. « Dans ces versions, tous les mécanismes d’authentification sont concernés. En outre, les utilisateurs dont l’authentification à deux facteurs est activée sont vulnérables à la réinitialisation du mot de passe, mais pas à la prise de contrôle du compte, car leur deuxième facteur d’authentification est nécessaire pour se connecter », a expliqué GitLab.
La vulnérabilité a été signalée dans le cadre du programme de bug bounty de GitLab. Le Cert.fr a également donné l’alerte dans une notification.
GitLab a également corrigé une autre faille critique (CVE-2023-5356, CVSS score : 9.6) par laquelle un utilisateur peut détourner des intégrations Slack/Mattermost afin d’exécuter des commandes slash en tant qu’autre utilisateur.