Risque(s)

• Déni de service à distance
• Contournement de la politique de sécurité
• Atteinte à l'intégrité des données
• Atteinte à la confidentialité des données
• Élévation de privilèges
• Injection de requêtes illégitimes par rebond (CSRF)

Systèmes affectés

• GitLab Community Edition

(CE) et Enterprise Edition (EE) versions antérieures à 14.7.1

GitLab CE et EE versions antérieures à 14.6.4

GitLab CE et EE versions antérieures à 14.5.4

Résumé

De multiples vulnérabilités ont été découvertes dans les produits GitLab. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, un contournement de la politique de sécurité et une atteinte à l'intégrité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité GitLab du 03 février 2022
  https://about.gitlab.com/releases/2022/02/03/security-release-gitlab-14-7-1-released/
• Référence CVE CVE-2022-0427
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0427
• Référence CVE CVE-2022-0425
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0425
• Référence CVE CVE-2022-0123
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0123
• Référence CVE CVE-2022-0136
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0136
• Référence CVE CVE-2022-0283
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0283
• Référence CVE CVE-2022-0390
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0390
• Référence CVE CVE-2022-0373
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0373
• Référence CVE CVE-2022-0371
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0371
• Référence CVE CVE-2021-39943
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39943
• Référence CVE CVE-2022-0477
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0477
• Référence CVE CVE-2022-0167
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0167
• Référence CVE CVE-2022-0249
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0249
• Référence CVE CVE-2022-0344
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0344
• Référence CVE CVE-2021-39931
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-39931