Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits GitLab

Gestion du document

Référence	CERTFR-2022-AVI-025
Titre	Multiples vulnérabilités dans les produits GitLab
Date de la première version	12 janvier 2022
Date de la dernière version	12 janvier 2022
Source(s)	Bulletin de sécurité GitLab du 11 janvier 2022

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Exécution de code arbitraire à distance
Injection de code indirecte à distance (XSS)
Injection de requêtes illégitimes par rebond (CSRF)

Systèmes affectés

GitLab CE et GitLab EE versions 14.4.x antérieures à 14.4.5
GitLab CE et GitLab EE versions 14.5.x antérieures à 14.5.3
GitLab Community Edition (CE) et GitLab Enterprise Edition (EE) versions 14.6.x antérieures à 14.6.2

Résumé

De multiples vulnérabilités ont été découvertes dans les produits GitLab. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité GitLab du 11 janvier 2022
https://about.gitlab.com/releases/2022/01/11/security-release-gitlab-14-6-2-released/
Référence CVE CVE-2021-39927
https://www.cve.org/CVERecord?id=CVE-2021-39927
Référence CVE CVE-2021-39942
https://www.cve.org/CVERecord?id=CVE-2021-39942
Référence CVE CVE-2021-39946
https://www.cve.org/CVERecord?id=CVE-2021-39946
Référence CVE CVE-2022-0090
https://www.cve.org/CVERecord?id=CVE-2022-0090
Référence CVE CVE-2022-0093
https://www.cve.org/CVERecord?id=CVE-2022-0093
Référence CVE CVE-2022-0124
https://www.cve.org/CVERecord?id=CVE-2022-0124
Référence CVE CVE-2022-0125
https://www.cve.org/CVERecord?id=CVE-2022-0125
Référence CVE CVE-2022-0151
https://www.cve.org/CVERecord?id=CVE-2022-0151
Référence CVE CVE-2022-0152
https://www.cve.org/CVERecord?id=CVE-2022-0152
Référence CVE CVE-2022-0154
https://www.cve.org/CVERecord?id=CVE-2022-0154
Référence CVE CVE-2022-0172
https://www.cve.org/CVERecord?id=CVE-2022-0172

Gestion détaillée du document

Date	Description
12 janvier 2022	Version initiale