Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans GitLab

Gestion du document

Référence	CERTFR-2023-AVI-0610
Titre	Multiples vulnérabilités dans GitLab
Date de la première version	02 août 2023
Date de la dernière version	02 août 2023
Source(s)	Bulletin de sécurité GitLab du 01 août 2023

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Injection de code indirecte à distance (XSS)

Systèmes affectés

GitLab Community Edition (CE) et Enterprise Edition (EE) versions 16.0.x antérieures à 16.0.8
GitLab Community Edition (CE) et Enterprise Edition (EE) versions 16.1.x antérieures à 16.1.3
GitLab Community Edition (CE) et Enterprise Edition (EE) versions 16.2.x antérieures à 16.2.2

Résumé

De multiples vulnérabilités ont été découvertes dans GitLab. Certaines d'entre elles permettent à un attaquant de provoquer une atteinte à l'intégrité des données, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité GitLab du 01 août 2023
https://about.gitlab.com/releases/2023/08/01/security-release-gitlab-16-2-2-released/
Référence CVE CVE-2023-0632
https://www.cve.org/CVERecord?id=CVE-2023-0632
Référence CVE CVE-2023-1210
https://www.cve.org/CVERecord?id=CVE-2023-1210
Référence CVE CVE-2023-2022
https://www.cve.org/CVERecord?id=CVE-2023-2022
Référence CVE CVE-2023-2164
https://www.cve.org/CVERecord?id=CVE-2023-2164
Référence CVE CVE-2023-3364
https://www.cve.org/CVERecord?id=CVE-2023-3364
Référence CVE CVE-2023-3385
https://www.cve.org/CVERecord?id=CVE-2023-3385
Référence CVE CVE-2023-3401
https://www.cve.org/CVERecord?id=CVE-2023-3401
Référence CVE CVE-2023-3500
https://www.cve.org/CVERecord?id=CVE-2023-3500
Référence CVE CVE-2023-3900
https://www.cve.org/CVERecord?id=CVE-2023-3900
Référence CVE CVE-2023-3993
https://www.cve.org/CVERecord?id=CVE-2023-3993
Référence CVE CVE-2023-3994
https://www.cve.org/CVERecord?id=CVE-2023-3994
Référence CVE CVE-2023-4002
https://www.cve.org/CVERecord?id=CVE-2023-4002
Référence CVE CVE-2023-4008
https://www.cve.org/CVERecord?id=CVE-2023-4008
Référence CVE CVE-2023-4011
https://www.cve.org/CVERecord?id=CVE-2023-4011

Gestion détaillée du document

Date	Description
02 août 2023	Version initiale