GITLAB - CVE-2023-7028
Une vulnérabilité critique dans GitLab peut être facilement exploitée par des attaquants pour réinitialiser les mots de passe des comptes utilisateurs de GitLab.
Associée à la référence CVE-2023-7028, cette faille de sécurité critique rapportée par l'intermédiaire du programme de Bug Bounty de GitLab affecte GitLab Community Edition (CE) et Enterprise Edition (EE).
En exploitant cette faille de sécurité à distance, et sans interaction de la part de l'utilisateur, un attaquant pourrait réinitialiser le mot de passe d'un compte utilisateur afin d'en prendre le contrôle. Le fait d'exploiter cette faille de sécurité va lui permettre de lancer le processus de réinitialisation de mot de passe pour un compte utilisateur en recevant le lien de réinitialisation sur l'adresse e-mail de son choix. Ainsi, l'attaquant n'aura plus qu'à cliquer sur le lien et à définir un nouveau mot de passe.
CVE-2023-7028 affecte les instances autogérées de GitLab utilisant les versions GitLab Community Edition (CE) et Enterprise Edition (EE) :
GitLab a mis en ligne de nouvelles versions pour corriger cette faille de sécurité : 16.7.2, 16.6.4 et 16.5.6 pour GitLab CE et EE.
Vous devez donc mettre à jour votre instance GitLab vers l'une de ces versions.
Au-delà de patcher votre instance, GitLab vous recommande d'activer le MFA autant que possible sur les comptes utilisateurs, en traitant en priorité les comptes administrateurs.
Ceci est d'autant plus important que les comptes où le MFA est configuré seront protégés de cette faille de sécurité grâce au second facteur d'authentification : un attaquant pourra réinitialiser le mot de passe du compte, mais il ne pourra pas s'y connecter à cause du second facteur d'authentification.
Chez Newton Services, nous pouvons vous assister pour la mise à jour de votre instance, prenez rendez vous avec l'un de nos experts.
Source:
Copyright © 2020 Tous droits réservés
France (French)
United States (English)