Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans GitLab

Gestion du document

Référence	CERTFR-2024-AVI-0521
Titre	Multiples vulnérabilités dans GitLab
Date de la première version	27 juin 2024
Date de la dernière version	27 juin 2024
Source(s)	Bulletin de sécurité GitLab du 26 juin 2024

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Injection de code indirecte à distance (XSS)
Injection de requêtes illégitimes par rebond (CSRF)

Systèmes affectés

GitLab Community Edition (CE) et Enterprise Edition (EE) versions 16.11.x antérieures à 16.11.5
GitLab Community Edition (CE) et Enterprise Edition (EE) versions 17.0.x antérieures à 17.0.3
GitLab Community Edition (CE) et Enterprise Edition (EE) versions 17.1.x antérieures à 17.1.1

Résumé

De multiples vulnérabilités ont été découvertes dans GitLab. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à la confidentialité des données et une atteinte à l'intégrité des données.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité GitLab du 26 juin 2024
https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/
Référence CVE CVE-2024-1493
https://www.cve.org/CVERecord?id=CVE-2024-1493
Référence CVE CVE-2024-1816
https://www.cve.org/CVERecord?id=CVE-2024-1816
Référence CVE CVE-2024-2177
https://www.cve.org/CVERecord?id=CVE-2024-2177
Référence CVE CVE-2024-2191
https://www.cve.org/CVERecord?id=CVE-2024-2191
Référence CVE CVE-2024-3115
https://www.cve.org/CVERecord?id=CVE-2024-3115
Référence CVE CVE-2024-3959
https://www.cve.org/CVERecord?id=CVE-2024-3959
Référence CVE CVE-2024-4011
https://www.cve.org/CVERecord?id=CVE-2024-4011
Référence CVE CVE-2024-4025
https://www.cve.org/CVERecord?id=CVE-2024-4025
Référence CVE CVE-2024-4557
https://www.cve.org/CVERecord?id=CVE-2024-4557
Référence CVE CVE-2024-4901
https://www.cve.org/CVERecord?id=CVE-2024-4901
Référence CVE CVE-2024-4994
https://www.cve.org/CVERecord?id=CVE-2024-4994
Référence CVE CVE-2024-5430
https://www.cve.org/CVERecord?id=CVE-2024-5430
Référence CVE CVE-2024-5655
https://www.cve.org/CVERecord?id=CVE-2024-5655
Référence CVE CVE-2024-6323
https://www.cve.org/CVERecord?id=CVE-2024-6323

Gestion détaillée du document

Date	Description
27 juin 2024	Version initiale