Des chercheurs ont révélé les détails d’une vulnérabilité de sécurité maintenant corrigée dans GitLab, un logiciel DevOps open-source, qui pourrait potentiellement permettre à un attaquant distant et non authentifié de récupérer des informations relatives à l’utilisateur.
Repérée sous le nom de CVE-2021-4191, la faille de gravité moyenne affecte toutes les versions de GitLab Community Edition et Enterprise Edition à partir de la version 13.0 et toutes les versions à partir de la version 14.4 et avant la version 14.8.
Suite à la divulgation responsable le 18 novembre 2021, des correctifs ont été publiés dans le cadre des versions de sécurité critiques de GitLab 14.8.2, 14.7.4 et 14.6.5 expédiées le 25 février 2022.
« La vulnérabilité résulte d’une vérification d’authentification manquante lors de l’exécution de certaines requêtes API GraphQL de GitLab », a déclaré Baines dans un rapport publié jeudi.
« La fuite d’informations permet aussi potentiellement à un attaquant de créer une nouvelle liste de mots de passe de nom d’utilisateur basée sur les installations GitLab – pas seulement à partir de gitlab.com mais aussi à partir des 50 000 autres instances GitLab qui peuvent être atteintes depuis l’internet », a déclaré Baines.
Le correctif corrige également six autres failles de sécurité, dont l’une est un problème critique qui permet à un attaquant non autorisé de siphonner les jetons d’enregistrement des runners utilisés pour authentifier et autoriser les travaux CI/CD hébergés sur les instances GitLab.
