Les failles de sécurité au score CVSS de 10 ne courent pas les rues tant que cela. Après la CVE-2023-2825 de mai dernier, le spécialiste en dépôt de code open source et solutions devops Gitlab vient d'en corriger une autre. Répertorié en tant que CVE-2023-7028, ce trou de sécurité comblé par l'éditeur pourrait faciliter la prise de contrôle d'un compte en envoyant des courriels de réinitialisation de mot de passe à une adresse électronique non vérifiée. Il faut donc appliquer sans tarder le correctif de cette vulnérabilité.

GitLab a indiqué avoir résolu le problème dans les versions 16.5.6, 16.6.4 et 16.7.2 de ses offres Community et Enterprise, ainsi que dans les mises à jour 16.1.6, 16.2.9, 16.3.7 et 16.4.5. La société a également indiqué que cette faille était présente depuis la version 16.1.0 de sa solution du 1er mai dernier. « Dans ces versions, tous les mécanismes d'authentification sont concernés. En outre, les utilisateurs dont l'authentification à deux facteurs est activée sont vulnérables à la réinitialisation du mot de passe, mais pas à la prise de contrôle du compte, car leur deuxième facteur d'authentification est nécessaire pour se connecter », a expliqué GitLab.

La vulnérabilité a été signalée dans le cadre du programme de bug bounty de GitLab. Le Cert.fr a également donné l'alerte dans une notification.

GitLab a également corrigé une autre faille critique (CVE-2023-5356, CVSS score : 9.6) par laquelle un utilisateur peut détourner des intégrations Slack/Mattermost afin d'exécuter des commandes slash en tant qu'autre utilisateur.