Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans GitLab

Gestion du document

Référence	CERTFR-2018-AVI-142
Titre	Multiples vulnérabilités dans GitLab
Date de la première version	22 mars 2018
Date de la dernière version	22 mars 2018
Source(s)	Bulletin de sécurité GitLab du 16 janvier 2018 Bulletin de sécurité GitLab du 20 mars 2018

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Exécution de code arbitraire à distance
Injection de code indirecte à distance (XSS)

Systèmes affectés

GitLab CE et EE versions 10.3.x antérieures à 10.3.9
GitLab CE et EE versions 10.4.x antérieures à 10.4.6
GitLab Community Edition (CE) et Enterprise Edition (EE) versions 10.5.x antérieures à 10.5.6

Résumé

De multiples vulnérabilités ont été découvertes dans GitLab . Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un contournement de la politique de sécurité et une atteinte à l'intégrité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité GitLab du 16 janvier 2018
https://about.gitlab.com/2018/01/16/gitlab-10-dot-3-dot-4-released/
Bulletin de sécurité GitLab du 20 mars 2018
https://about.gitlab.com/2018/03/20/critical-security-release-gitlab-10-dot-5-dot-6-released/
Référence CVE CVE-2017-0914
https://www.cve.org/CVERecord?id=CVE-2017-0914
Référence CVE CVE-2017-0915
https://www.cve.org/CVERecord?id=CVE-2017-0915
Référence CVE CVE-2017-0916
https://www.cve.org/CVERecord?id=CVE-2017-0916
Référence CVE CVE-2017-0917
https://www.cve.org/CVERecord?id=CVE-2017-0917
Référence CVE CVE-2017-0918
https://www.cve.org/CVERecord?id=CVE-2017-0918
Référence CVE CVE-2017-0920
https://www.cve.org/CVERecord?id=CVE-2017-0920
Référence CVE CVE-2017-0922
https://www.cve.org/CVERecord?id=CVE-2017-0922
Référence CVE CVE-2017-0923
https://www.cve.org/CVERecord?id=CVE-2017-0923
Référence CVE CVE-2017-0924
https://www.cve.org/CVERecord?id=CVE-2017-0924
Référence CVE CVE-2017-0925
https://www.cve.org/CVERecord?id=CVE-2017-0925
Référence CVE CVE-2017-0926
https://www.cve.org/CVERecord?id=CVE-2017-0926
Référence CVE CVE-2017-0927
https://www.cve.org/CVERecord?id=CVE-2017-0927
Référence CVE CVE-2018-3710
https://www.cve.org/CVERecord?id=CVE-2018-3710
Référence CVE CVE-2018-8801
https://www.cve.org/CVERecord?id=CVE-2018-8801

Gestion détaillée du document

Date	Description
22 mars 2018	Version initiale