{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[],"affected_systems_content":"<p><span style=\"color: #ff0000;\"><strong>[Mise \u00e0 jour du 29 janvier 2024] </strong></span></p> <p><span style=\"color: #ff0000;\"><strong>Les versions des syst\u00e8mes affect\u00e9s ont \u00e9t\u00e9 mises \u00e0 jour \u00e0 la suite du nouveau bulletin de s\u00e9curit\u00e9 du 25 janvier 2024. Les versions 16.5.6, 16.6.4 et 16.7.2 initialement recommand\u00e9es ne doivent plus \u00eatre utilis\u00e9es.<br /> </strong></span></p> <ul> <li>Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.1.x ant\u00e9rieures \u00e0 16.1.6</li> <li>Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.2.x ant\u00e9rieures \u00e0 16.2.9</li> <li>Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.3.x ant\u00e9rieures \u00e0 16.3.7</li> <li>Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.4.x ant\u00e9rieures \u00e0 16.4.5</li> <li>Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.5.x ant\u00e9rieures \u00e0 16.5.8</li> <li>Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.6.x ant\u00e9rieures \u00e0 16.6.6</li> <li>Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.7.x ant\u00e9rieures \u00e0 16.7.4</li> <li>Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.8.x ant\u00e9rieures \u00e0 16.8.1</li> </ul> ","closed_at":"2024-02-22","content":"## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l'\u00e9diteur pour l'obtention des\ncorrectifs (cf. section Documentation).\n","cves":[{"name":"CVE-2024-0402","url":"https://www.cve.org/CVERecord?id=CVE-2024-0402"},{"name":"CVE-2023-7028","url":"https://www.cve.org/CVERecord?id=CVE-2023-7028"}],"links":[{"title":"Avis CERT-FR CERTFR-2024-AVI-0030 du 12 janvier 2024","url":"https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0030/"},{"title":"Avis CERT-FR CERTFR-2024-AVI-0069 du 26 janvier 2024","url":"https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0069/"}],"reference":"CERTFR-2024-ALE-002","revisions":[{"description":"Version initiale","revision_date":"2024-01-12T00:00:00.000000"},{"description":"Ajout de la vuln\u00e9rabilit\u00e9 CVE-2024-0402","revision_date":"2024-01-29T00:00:00.000000"},{"description":"Cl\u00f4ture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l'exploitation de la vuln\u00e9rabilit\u00e9 correspondante.","revision_date":"2024-02-22T00:00:00.000000"}],"risks":[{"description":"Contournement de la politique de s\u00e9curit\u00e9"},{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"}],"summary":"<span style=\"color: #ff0000;\"><strong>\\[Mise \u00e0 jour du 29 janvier 2024\\]</strong>\n</span>\n\nLe 25 janvier 2024, l'\u00e9diteur a publi\u00e9 un avis de s\u00e9curit\u00e9 concernant\nplusieurs vuln\u00e9rabilit\u00e9s affectant GitLab CE et EE.\n\nLa vuln\u00e9rabilit\u00e9 CVE-2024-0402 est consid\u00e9r\u00e9e critique avec un score\nCVSSv3 de 9,9. Elle permet \u00e0 un attaquant authentifi\u00e9 d'\u00e9crire des\nfichiers \u00e0 un emplacement arbitraire.\n\n<strong>\\[Publication initiale\\]</strong>\n\nLe 11 janvier 2024, l'\u00e9diteur a publi\u00e9 un avis de s\u00e9curit\u00e9 concernant\nplusieurs vuln\u00e9rabilit\u00e9s affectant GitLab CE et EE.\n\nLa plus critique est la vuln\u00e9rabilit\u00e9 CVE-2023-7028. Elle permet \u00e0 un\nattaquant non authentifi\u00e9 d'envoyer un courriel de r\u00e9initialisation de\nmot de passe de n'importe quel utilisateur \u00e0 une adresse arbitraire.\nL'attaquant peut ainsi, par le biais d'une simple requ\u00eate HTTP POST,\nprendre le contr\u00f4le d'un compte dont il connaitrait le courriel.\n\nLe score CVSSv3 de la vuln\u00e9rabilit\u00e9 CVE-2023-7028 est de 10 (sur 10).\nSon exploitation est triviale et le CERT-FR anticipe la publication de\ncodes d'exploitations publics dans les heures \u00e0 venir.\n\nL'\u00e9diteur recommande de v\u00e9rifier:\n\n-   dans le journal d'activit\u00e9 \"gitlab-rails/production_json.log\", la\n    pr\u00e9sence de requ\u00eates HTTP, sur le chemin \"/users/password\",\n    contenant plusieurs adresses courriel;\n-   dans le journal d'activit\u00e9 \"gitlab-rails/audit_json.log\", la\n    pr\u00e9sence d'identifiants correspondant \u00e0 \"PasswordsController#create\"\n    avec des \"target_details\" compos\u00e9 d'un tableau comprenant plusieurs\n    adresses courriel.\n\nLe CERT-FR recommande donc d'appliquer les correctifs dans les plus\nbrefs d\u00e9lais et d'activer l'authentification \u00e0 multiples facteurs,\nnotamment sur les comptes \u00e0 hauts privil\u00e8ges.\n","title":"[M\u00e0J] Multiples Vuln\u00e9rabilit\u00e9s dans GitLab","vendor_advisories":[{"published_at":null,"title":"Bulletin de s\u00e9curit\u00e9 GitLab du 11 janvier 2024","url":"https://about.gitlab.com/releases/2024/01/11/critical-security-release-gitlab-16-7-2-released/"},{"published_at":null,"title":"Bulletin de s\u00e9curit\u00e9 GitLab du 25 janvier 2024","url":"https://about.gitlab.com/releases/2024/01/25/critical-security-release-gitlab-16-8-1-released/"}]}