Hier, une vulnérabilité de sécurité critique a été découverte dans GitLab (avec une note de sévérité maximale de 10/10 !).
Cette faille permet l’exécution à distance de code (RCE) non authentifiée sur un serveur GitLab, sans nécessiter d’identifiants de connexion.
Elle affecte l’ensemble des versions publiées depuis la version 7.0 lancée en 2014, soit un impact remontant à 12 ans !
La vulnérabilité touche à la fois les instances Community Edition (CE) et Enterprise Edition (EE) et est liée à Onigmo (un composant du moteur d’expressions régulières Ruby intégré à GitLab).
La vulnérabilité impacte le côté serveur, les runners GitLab CI, ainsi que la CLI GitLab Duo (IA).
Correctif d’urgence disponible :
Un patch de sécurité d’urgence a été publié pour les versions suivantes :
19.5, 19.4, 19.3, 19.2, 19.1, 19.0, 18.11
Fait exceptionnel, GitLab a publié des correctifs remontant jusqu’à 7 versions en arrière (alors que l’éditeur ne prend généralement en charge que les 3 dernières versions).
Cependant, il est essentiel de noter que les versions plus anciennes restent exposées sans patch officiel : une mise à jour immédiate est donc vivement recommandée !
Les détails techniques concernant cette vulnérabilité sont disponibles ici.
Enfin, nous accompagnons les organisations dans la planification et l’exécution de mises à jour intelligentes, efficaces, automatisées ou intégrées à l’IA, avec un temps d’arrêt minimal.
Forts de plus de 10 ans d’expérience du terrain, de certifications officielles et d’une expertise approfondie en DevOps, DevSecOps, Git et sur toutes les éditions de GitLab, nous sommes à votre disposition.
Pour plus de détails, contactez-nous : gitlab@almtoolbox.com ou au 01 84 17 53 28
