Vulnérabilité dans GitLab

Date de publication :

CVE-2021-22205[Score CVSS v3.1: 10]

Le développeur William Bowling a identifié une vulnérabilité du type « injection de commande » dans les produits Community Edition et Enterprise Edition de GitLab.

Lorsqu’un utilisateur télécharge des fichiers images vers le serveur GitLab, ceux-ci sont traités par l’outil Exiftool. La vulnérabilité se base précisément sur le processus effectué par cet outil qui risque, au cours de son déroulement, d’exécuter certaines métadonnées (des données décrivant d’autres données). De ce fait, si un code malveillant est écrit d’une certaine manière dans les métadonnées d’un fichier image, il sera exécuté sur le serveur.

Un attaquant distant et non-authentifié pourrait exploiter cette vulnérabilité, en téléchargeant un fichier contenant une charge malveillante, pour exécuter du code arbitraire sur le serveur ciblé. Cette vulnérabilité semble être exploitée.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Injection de commande
  • Exécution de code arbitraire
  • Compromission du serveur
  • Manipulation de données

Criticité

  • Score CVSS v3.1: 10

CVE

Composants vulnérables.

Concernant Community Edition et Enterprise Edition de GitLab,

  • Toutes les versions à partir de la mise à jour 11.9 sont vulnérables.

 

Solutions ou recommandations

Concernant Community Edition et Enterprise Edition de GitLab, trois versions corrigées sont disponibles :

  • La mise à jour 13.10.3
  • La mise à jour 13.9.6
  • La mise à jour 13.8.8

Liens