Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits GitLab

Gestion du document

Référence	CERTFR-2022-AVI-112
Titre	Multiples vulnérabilités dans les produits GitLab
Date de la première version	04 février 2022
Date de la dernière version	04 février 2022
Source(s)	Bulletin de sécurité GitLab du 03 février 2022

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Injection de requêtes illégitimes par rebond (CSRF)
Élévation de privilèges

Systèmes affectés

GitLab CE et EE versions antérieures à 14.5.4
GitLab CE et EE versions antérieures à 14.6.4
GitLab Community Edition (CE) et Enterprise Edition (EE) versions antérieures à 14.7.1

Résumé

De multiples vulnérabilités ont été découvertes dans les produits GitLab. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, un contournement de la politique de sécurité et une atteinte à l'intégrité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité GitLab du 03 février 2022
https://about.gitlab.com/releases/2022/02/03/security-release-gitlab-14-7-1-released/
Référence CVE CVE-2021-39931
https://www.cve.org/CVERecord?id=CVE-2021-39931
Référence CVE CVE-2021-39943
https://www.cve.org/CVERecord?id=CVE-2021-39943
Référence CVE CVE-2022-0123
https://www.cve.org/CVERecord?id=CVE-2022-0123
Référence CVE CVE-2022-0136
https://www.cve.org/CVERecord?id=CVE-2022-0136
Référence CVE CVE-2022-0167
https://www.cve.org/CVERecord?id=CVE-2022-0167
Référence CVE CVE-2022-0249
https://www.cve.org/CVERecord?id=CVE-2022-0249
Référence CVE CVE-2022-0283
https://www.cve.org/CVERecord?id=CVE-2022-0283
Référence CVE CVE-2022-0344
https://www.cve.org/CVERecord?id=CVE-2022-0344
Référence CVE CVE-2022-0371
https://www.cve.org/CVERecord?id=CVE-2022-0371
Référence CVE CVE-2022-0373
https://www.cve.org/CVERecord?id=CVE-2022-0373
Référence CVE CVE-2022-0390
https://www.cve.org/CVERecord?id=CVE-2022-0390
Référence CVE CVE-2022-0425
https://www.cve.org/CVERecord?id=CVE-2022-0425
Référence CVE CVE-2022-0427
https://www.cve.org/CVERecord?id=CVE-2022-0427
Référence CVE CVE-2022-0477
https://www.cve.org/CVERecord?id=CVE-2022-0477

Gestion détaillée du document

Date	Description
04 février 2022	Version initiale