- GitLab (versions CE et EE) est touché par plusieurs failles de sécurité, dont une jugée critique (score 9,9 sur 10).
- Cette faille critique permet à un utilisateur connecté d’écrire des fichiers arbitraires sur le serveur — un risque sérieux pour vos données.
- Une mise à jour corrective est disponible : elle doit être appliquée sans attendre.
Qu’est-ce qui se passe ?
Le 25 janvier 2024, GitLab a publié un avis de sécurité signalant plusieurs vulnérabilités affectant ses éditions Community (CE) et Enterprise (EE). Le CERT-FR a relayé et mis à jour cette alerte le 29 janvier 2024.
La plus grave de ces failles, référencée CVE-2024-0402, obtient un score de criticité de 9,9 sur 10 selon l’échelle CVSSv3. Concrètement, un attaquant qui dispose d’un compte sur votre instance GitLab peut exploiter cette vulnérabilité pour écrire des fichiers à des endroits non autorisés sur le serveur. Cela peut mener à une prise de contrôle partielle ou totale du système.
Penser que GitLab est uniquement un outil interne « sans risque » parce qu’il n’est pas directement exposé à Internet. Si un seul compte utilisateur est compromis, cette faille devient exploitable depuis l’intérieur de votre réseau.
Qui est concerné ?
Toute PME qui héberge sa propre instance GitLab (auto-hébergée) en version CE ou EE est potentiellement exposée. Si vous utilisez GitLab.com (la version cloud gérée par GitLab), la correction est appliquée de leur côté — vérifiez tout de même auprès de votre prestataire.
Si vous ne savez pas quelle version de GitLab tourne sur votre serveur, connectez-vous en administrateur et rendez-vous dans Menu → Admin → Tableau de bord : la version est affichée en bas de page. Comparez-la avec la version corrigée indiquée dans l’avis officiel GitLab.
Ce qu’il faut faire concrètement
Contactez votre prestataire informatique ou votre administrateur système dès aujourd’hui pour mettre à jour votre instance GitLab vers la dernière version corrigée. Si la mise à jour ne peut pas être faite immédiatement, envisagez de restreindre temporairement l’accès à votre GitLab aux seules personnes indispensables, en attendant l’application du correctif. Consultez l’alerte officielle du CERT-FR pour les détails techniques : CERTFR-2024-ALE-002.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.