Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans GitLab

Gestion du document

Référence	CERTFR-2022-AVI-693
Titre	Multiples vulnérabilités dans GitLab
Date de la première version	29 juillet 2022
Date de la dernière version	29 juillet 2022
Source(s)	Bulletin de sécurité GitLab du 28 juillet 2022

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Injection de code indirecte à distance (XSS)

Systèmes affectés

GitLab Community Edition (CE) et Enterprise Edition (EE) versions 15.1.x antérieures à 15.1.4
GitLab Community Edition (CE) et Enterprise Edition (EE) versions 15.2.x antérieures à 15.2.1
GitLab Community Edition (CE) et Enterprise Edition (EE) versions antérieures à 15.0.5

Résumé

De multiples vulnérabilités ont été découvertes dans GitLab. Elles permettent à un attaquant de provoquer un contournement de la politique de sécurité, une atteinte à la confidentialité des données et une injection de code indirecte à distance (XSS).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité GitLab du 28 juillet 2022
https://about.gitlab.com/releases/2022/07/28/security-release-gitlab-15-2-1-released/
Référence CVE CVE-2022-2095
https://www.cve.org/CVERecord?id=CVE-2022-2095
Référence CVE CVE-2022-2303
https://www.cve.org/CVERecord?id=CVE-2022-2303
Référence CVE CVE-2022-2307
https://www.cve.org/CVERecord?id=CVE-2022-2307
Référence CVE CVE-2022-2326
https://www.cve.org/CVERecord?id=CVE-2022-2326
Référence CVE CVE-2022-2417
https://www.cve.org/CVERecord?id=CVE-2022-2417
Référence CVE CVE-2022-2456
https://www.cve.org/CVERecord?id=CVE-2022-2456
Référence CVE CVE-2022-2459
https://www.cve.org/CVERecord?id=CVE-2022-2459
Référence CVE CVE-2022-2497
https://www.cve.org/CVERecord?id=CVE-2022-2497
Référence CVE CVE-2022-2498
https://www.cve.org/CVERecord?id=CVE-2022-2498
Référence CVE CVE-2022-2499
https://www.cve.org/CVERecord?id=CVE-2022-2499
Référence CVE CVE-2022-2500
https://www.cve.org/CVERecord?id=CVE-2022-2500
Référence CVE CVE-2022-2501
https://www.cve.org/CVERecord?id=CVE-2022-2501
Référence CVE CVE-2022-2512
https://www.cve.org/CVERecord?id=CVE-2022-2512
Référence CVE CVE-2022-2531
https://www.cve.org/CVERecord?id=CVE-2022-2531
Référence CVE CVE-2022-2534
https://www.cve.org/CVERecord?id=CVE-2022-2534
Référence CVE CVE-2022-2539
https://www.cve.org/CVERecord?id=CVE-2022-2539

Gestion détaillée du document

Date	Description
29 juillet 2022	Version initiale