Support technique
Documentation
Connexion
Nous contacter
TuxCare BlogCorrectifs de sécurité de GitLab : Protéger vos données
par Wajahat Raja
5 octobre 2023 - L'équipe d'experts de TuxCare
GitLab a récemment publié des mises à jour de sécurité critiques afin d'améliorer la sécurité de son référentiel de code open-source largement utilisé et de sa plateforme de développement logiciel collaboratif DevOps. Ces correctifs de sécurité de correctifs de sécurité GitLab visent à remédier à une vulnérabilité qui pourrait exposer les entreprises à des menaces de sécurité. Dans ce blog, nous allons passer en revue les plus récentes améliorations de sécurité de améliorations de sécurité de GitLab et l'importance de rester à jour dans le domaine en constante évolution de la cybersécurité.
Révéler la vulnérabilité
L'équipe de sécurité de GitLab a découvert et corrigé une faille majeure qui, si elle est utilisée de manière abusive, peut permettre à des attaquants d'obtenir un accès non autorisé aux privilèges d'un utilisateur. permettre à des attaquants d'obtenir un accès non autorisé aux privilèges d'un utilisateur. Cette faille a été causée par des politiques d'analyse de sécurité qui pourraient être modifiées par des pirates. En fait, les attaquants peuvent se faire passer pour des utilisateurs légitimes, ce qui leur permet de mener des activités non autorisées dans l'environnement de GitLab. L'accès aux données sensibles, la modification du code et même les attaques de la chaîne d'approvisionnement des logiciels sont des exemples de telles opérations. Il s'agit là d'un risque risque majeur pour l'intégrité des donnéesla sécurité du codeet la continuité de l'activité en général.
La réponse rapide de GitLab
GitLab a rapidement publié deux versions révisées pour remédier à cette faille de sécurité potentielle : 16.3.4 et 16.2.7, qui s'adressent à la fois aux éditions Community et Enterprise. Ces mises à jour permettent non seulement de résoudre les failles de sécurité signalées, mais elles constituent également une mesure préventive visant à protéger les utilisateurs de GitLab contre les risques d'intrusion. mesure préventive pour protéger les utilisateurs de GitLab contre d'éventuelles menaces.. GitLab recommande vivement à tous les utilisateurs de mettre rapidement à jour leurs installations vers l'une de ces versions dans le cadre de leurs meilleures pratiques de sécurité afin de garantir que leur DevOps reste sécurisé.
De la gravité moyenne à la gravité critique
Johann Carlsson, plus connu sous le nom de "joaxcar", qui a joué un rôle essentiel dans la découverte de la faiblesse, a rendu cette découverte possible. Carlsson, chercheur en sécurité et chasseur de bogues, a découvert la faiblesse en travaillant avec le programme de chasse aux bogues HackerOne de GitLab. programme de chasse aux bogues HackerOne de GitLab. Ces collaborations corrections de vulnérabilités de GitLab sont essentielles pour identifier et atténuer les problèmes éventuels avant qu'ils ne soient exploités par des acteurs criminels..
Notamment, cette vulnérabilité la plus récente, CVE-2023-5009a un score de gravité critique beaucoup plus élevé de 9,6 par rapport à un problème antérieur, CVE-2023-3932, avec un niveau de gravité CVSS moyen de 5,3. L'augmentation significative de la gravité souligne l'impact possible de ce problème de sécurité sur les utilisateurs de GitLab.
Comprendre la menace
Selon Alex Ilgayev, responsable de la recherche en sécurité chez Cycode, l'exploitation du problème actuel permet à un attaquant d'utiliser l'outil de politique d'exécution des analyses de GitLab. Les utilisateurs peuvent configurer des scanners intégrés pour les projets GitLab, tels que l'analyse statique et le analyse de vulnérabilitéà l'aide de cette fonctionnalité. Ces scanners travaillent dans des pipelines spécifiques et ont des permissions prédéfinies.
La vulnérabilité précédente permettait aux acteurs de la menace d'usurper l'identité de l'auteur du fichier de politique, de prendre le contrôle des permissions du pipeline et d'accéder aux dépôts privés de n'importe quel utilisateur. Les attaquants peuvent assumer les permissions d'utilisateurs arbitraires en changeant l'auteur du fichier de politique à l'aide de la commande 'git config'. Mises à jour de sécurité de GitLab GitLab a fourni des mises à jour de sécurité qui permettent aux analyses de sécurité d'être effectuées par un bot utilisateur dédié avec des permissions restreintes.
Démasquer le contournement
Bien que GitLab n'ait pas officiellement divulgué le contournement, Ilgayev affirme qu'il faut retirer l'utilisateur du bot du groupe, ce qui permet d'exécuter le flux de vulnérabilité précédent. Cette découverte souligne la complexité de la gestion et de l'atténuation de ces problèmes de sécurité, ainsi que l'importance des tests de sécurité approfondis.
Correctifs de sécurité GitLab : Instances vulnérables de GitLab
Il est essentiel de comprendre quelles instances GitLab sont vulnérables aux abus. Si les fonctions de transferts directs et de politiques de sécurité sont activées en même temps sur votre instance GitLab, celle-ci est vulnérable.. Ceci s'applique à toute version commençant par 13.12 avant 16.2.7 ou à toute version commençant par 16.3 avant 16.3.4. Nick Malcom, ingénieur principal en sécurité chez GitLab, a fourni des conseils utiles en suggérant que la désactivation de l'une ou des deux fonctionnalités peut atténuer le problème dans les cas lorsque la mise à jour n'est pas possible dans l'immédiat.
Priorité à la sécurité dans le cadre de DevOps
La sécurité ne devrait jamais être reléguée au second plan dans le monde rapide de DevOps, où l'intégration et le déploiement continus sont la norme. La stratégie proactive de GitLab pour découvrir et atténuer les vulnérabilités des logiciels de vulnérabilités du logiciel GitLab démontre l'importance l'importance de la cybersécurité dans le développement de logiciels modernes. Pour défendre votre organisation contre les menaces et les vulnérabilités potentielles, il est essentiel de se tenir informé et de réagir rapidement lorsque des mises à jour de sécurité sont publiées.
Conclusion
Enfin, la version du correctif de publication du correctif GitLab nous rappelle que la cybersécurité est un effort permanent. Les organisations peuvent minimiser le risque de failles de sécurité et garantir l'intégrité de leur environnement DevOps en appliquant les correctifs à temps et en restant vigilantes. l'intégrité de leur environnement DevOps en appliquant les correctifs à temps et en restant vigilants.. À une époque où les actifs numériques et les données sensibles sont au premier plan, investir dans des mesures de cybersécurité efficaces n'est pas seulement une bonne pratique, c'est une obligation.
Les sources de cet article comprennent des articles dans The Hacker News et GitLab.
