Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans GitLab

Gestion du document

Référence	CERTFR-2024-AVI-0769
Titre	Multiples vulnérabilités dans GitLab
Date de la première version	12 septembre 2024
Date de la dernière version	12 septembre 2024
Source(s)	Bulletin de sécurité GitLab du 11 septembre 2024

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Exécution de code arbitraire à distance
Élévation de privilèges

Systèmes affectés

GitLab Community Edition (CE) et Enterprise Edition (EE) versions 17.2.x antérieures à 17.2.5
GitLab Community Edition (CE) et Enterprise Edition (EE) versions 17.3.x antérieures à 17.3.2
GitLab Community Edition (CE) et Enterprise Edition (EE) versions antérieures à 17.1.7

Résumé

De multiples vulnérabilités ont été découvertes dans GitLab. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une élévation de privilèges et un déni de service à distance.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité GitLab du 11 septembre 2024
https://about.gitlab.com/releases/2024/09/11/patch-release-gitlab-17-3-2-released/
Référence CVE CVE-2024-2743
https://www.cve.org/CVERecord?id=CVE-2024-2743
Référence CVE CVE-2024-4283
https://www.cve.org/CVERecord?id=CVE-2024-4283
Référence CVE CVE-2024-4472
https://www.cve.org/CVERecord?id=CVE-2024-4472
Référence CVE CVE-2024-4612
https://www.cve.org/CVERecord?id=CVE-2024-4612
Référence CVE CVE-2024-4660
https://www.cve.org/CVERecord?id=CVE-2024-4660
Référence CVE CVE-2024-5435
https://www.cve.org/CVERecord?id=CVE-2024-5435
Référence CVE CVE-2024-6389
https://www.cve.org/CVERecord?id=CVE-2024-6389
Référence CVE CVE-2024-6446
https://www.cve.org/CVERecord?id=CVE-2024-6446
Référence CVE CVE-2024-6678
https://www.cve.org/CVERecord?id=CVE-2024-6678
Référence CVE CVE-2024-6685
https://www.cve.org/CVERecord?id=CVE-2024-6685
Référence CVE CVE-2024-8124
https://www.cve.org/CVERecord?id=CVE-2024-8124
Référence CVE CVE-2024-8311
https://www.cve.org/CVERecord?id=CVE-2024-8311
Référence CVE CVE-2024-8631
https://www.cve.org/CVERecord?id=CVE-2024-8631
Référence CVE CVE-2024-8635
https://www.cve.org/CVERecord?id=CVE-2024-8635
Référence CVE CVE-2024-8640
https://www.cve.org/CVERecord?id=CVE-2024-8640
Référence CVE CVE-2024-8641
https://www.cve.org/CVERecord?id=CVE-2024-8641

Gestion détaillée du document

Date	Description
12 septembre 2024	Version initiale