Risque(s)

• Déni de service
• Contournement de la politique de sécurité
• Atteinte à l'intégrité des données
• Atteinte à la confidentialité des données
• Élévation de privilèges

Systèmes affectés

• GitLab Community Edition (CE) et GitLab Enterprise Edition (EE) versions 14.5.x

antérieures à 14.5.2

GitLab CE et GitLab EE versions 14.4.x antérieures à 14.4.4

GitLab CE et GitLab EE versions 14.3.x antérieures à 14.3.6

Résumé

De multiples vulnérabilités ont été découvertes dans les produits GitLab. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service, un contournement de la politique de sécurité et une atteinte à l'intégrité des données.

L'éditeur a également mis à jour les composants tiers suivants pour corriger des vulnérabilités présentes dans leurs versions antérieures : Ruby, Rails, ncurses, libgcrypt, mattermost, graphql, mermaid.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité GitLab du 06 décembre 2021
  https://about.gitlab.com/releases/2021/12/06/security-release-gitlab-14-5-2-released/
• Référence CVE CVE-2021-39944
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39944
• Référence CVE CVE-2021-39935
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39935
• Référence CVE CVE-2021-39937
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39937
• Référence CVE CVE-2021-39915
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39915
• Référence CVE CVE-2021-39919
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39919
• Référence CVE CVE-2021-39930
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39930
• Référence CVE CVE-2021-39940
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39940
• Référence CVE CVE-2021-39932
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39932
• Référence CVE CVE-2021-39933
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39933
• Référence CVE CVE-2021-39934
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39934
• Référence CVE CVE-2021-39917
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39917
• Référence CVE CVE-2021-39916
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39916
• Référence CVE CVE-2021-39941
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39941
• Référence CVE CVE-2021-39936
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39936
• Référence CVE CVE-2021-39938
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39938
• Référence CVE CVE-2021-39918
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39918
• Référence CVE CVE-2021-39931
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39931
• Référence CVE CVE-2021-39945
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39945
• Référence CVE CVE-2021-39910
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39910