L'exploitation de la vulnérabilité de GitLab conduit à l'exécution d'un pipeline CI/CD

Une mise à jour de sécurité a récemment été publiée pour une vulnérabilité de vulnérabilité de GitLab qui, si elle est exploitée, peut conduire à l'exécution d'un pipeline l'exécution d'un pipeline CI/CD. Outre cette vulnérabilité GitLabla mise à jour a corrigé huit autres failles de sécurité. Dans cet article, nous allons nous plonger dans les détails de la faille, sa gravité et les conséquences d'une éventuelle exploitation. C'est parti !

La vulnérabilité de Vulnérabilité de GitLab découverte

La plus récente vulnérabilité de vulnérabilité de GitLab est répertoriée sous le nom de CVE-2024-9164. Cette faille a un score de gravité de vulnérabilité critique (CVSS) de 9,6 sur 10. Fournissant des détails sur les versions affectées, GitLab, dans un avis, a a déclaré que :

"Un problème a été découvert dans GitLab EE, affectant toutes les versions à partir de la 12.5 avant la 17.2.9, à partir de la 17.3, avant la 17.3.5, et à partir de la 17.4 avant la 17.4.2, qui permet d'exécuter des pipelines sur des branches arbitraires."

Compte tenu de la gravité de la faille, les personnes soucieuses d'assurer leur protection doivent comprendre les pipelines CI/CD. Ces pipelines sont en fait des processus automatisés qui exécutent une série de tâches différentes. Ces tâches concernent l'élaboration du code, les tests et le déploiement.

Il convient de préciser que ces tâches ne sont accessibles qu'aux utilisateurs disposant des autorisations nécessaires. Un acteur menaçant capable d'exploiter les protocoles de sécurité et de prendre le contrôle de ces tâches peut exécuter du code et accéder à des informations sensibles. 

Autres failles de sécurité de GitLab 

Selon des rapports récents sur la vulnérabilité de GitLabun total de huit failles ont été identifiées. Sur les sept failles restantes, quatre sont considérées comme très graves, deux comme moyennement graves et une comme peu grave. Une ventilation détaillée des vulnérabilités de gravité est fournie ci-dessous :

Rester à l'abri des exploits potentiels 

En ce qui concerne les pratiques de sécurité, les utilisateurs doivent s'assurer qu'ils ont mis à jour la dernière version, car cela peut contribuer à atténuer la vulnérabilité de GitLab et d'en assurer la protection. Il convient de mentionner que la divulgation de cette vulnérabilité GitLab est la dernière en date des failles de pipeline que GitLab a connues ces derniers temps.

Le mois dernier, l'entreprise a corrigé une autre faille de sécurité de GitLab. Cette faille a été répertoriée sous le numéro CVE-2024-6678 et présentait un score CVSS de 9,9. En cas d’exploitation, les acteurs malveillants auraient pu exécuter des tâches de pipeline en se faisant passer pour un utilisateur arbitraire. Avant cette faille de GitLab, trois autres failles critiques avaient été corrigées. Parmi ces failles figuraient : 

• 5009  
  • Score CVSS : 9.6.
• 5655 
  • Score CVSS : 9.6.
• 6385
  •  Score CVSS : 9.6.

Conclusion 

Pour se prémunir contre la vulnérabilité critique de vulnérabilité critique de GitLab et d'autres, il est essentiel de rester à jour avec les dernières versions. L'exploitation des pipelines CI/CD peut avoir de graves conséquences, en permettant un accès et un contrôle non autorisés. Des mises à jour régulières et des mesures de sécurité vigilantes sont la clé de l'atténuation des menaces potentielles pour la sécurité de GitLab.

Les sources de cet article comprennent des articles dans The Hacker News et Bleeping Computer.