← Toutes les actualités
Faille critique GitLab (CVSS 10.0) permettant une RCE non authentifiée sur 12 ans de versions
Titre original (traduit automatiquement) : Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases
Ce que vous pouvez faire
Mettre à jour les instances GitLab auto-hébergées vers les dernières versions corrigées publiées le 21 octobre, même si la mise à jour du 12 octobre est déjà installée ; vérifier la version installée et limiter l'accès du serveur à Internet en attendant ; surveiller les journaux à la recherche d'activités inhabituelles
Pourquoi c’est important
Un pirate pourrait prendre le contrôle d'un serveur GitLab sans identifiant, avec un risque de vol de code source, de secrets et de compromission de tout l'environnement de développement. Aucune exploitation active n'est signalée dans les articles, mais une faille de cette gravité attire vite les attaquants.
Synthèse
GitLab a publié le 21 octobre des correctifs pour une faille de gravité maximale (CVSS 10.0) qui permet à un attaquant sans compte d'exécuter du code à distance sur un serveur GitLab auto-hébergé. Elle vient d'un défaut dans le compilateur d'expressions régulières et touche toutes les versions depuis la 7.0 (2014). Ruby a aussi corrigé trois bugs de son moteur d'expressions régulières, à l'origine de quatre failles critiques, et GitLab recommande fortement de mettre à jour au plus vite, même si la mise à jour du 12 octobre a déjà été installée.
Texte original (en anglais)
Ruby patched three Onigmo regex bugs that enabled code execution in GitLab when it compiled attacker-controlled patterns.
Source originale
thehackernews.com
4 médias en ont parlé
GitLab warns of new max severity code execution vulnerability ↗
bleepingcomputer.com · 22 oct.
Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases ↗
thehackernews.com · 21 oct.