Frénésie fédérale pour colmater le trou béant de prise de contrôle de compte GitLab

L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) force toutes les agences fédérales à corriger une vulnérabilité critique dans les éditions Communauté et Entreprise de GitLab, confirmant qu’elle est très active. Lorsque CISA ajoute une vulnérabilité à sa liste des vulnérabilités exploitées connues (KEV), cela signifie que toutes les agences exécutives civiles fédérales (FCEB) ont généralement un maximum de 21 jours pour résoudre le problème afin de prévenir des attaques préjudiciables au gouvernement. Le nom est quelque peu révélateur, mais les failles de sécurité ajoutées à la liste KEV signifient également qu’elles sont connues pour être activement exploitées, nécessitant une correction rapide. La vulnérabilité, identifiée sous le numéro CVE-2023-7028, a été divulguée par GitLab en janvier et s’est vue attribuer une note de gravité maximale de 10 par la plateforme elle-même, qui est une autorité de numérotation CVE certifiée (CNA). La Base de données nationale des vulnérabilités (NVD) lui a attribué un score modeste de 7,5 cependant. Au moment de la divulgation, GitLab a signalé que la vulnérabilité existait depuis mai 2023, bien qu’il n’y ait eu aucune preuve d’exploitation réussie. L’ajout à la liste KEV de CISA signifie que ce n’est plus le cas, alors installez rapidement ces correctifs s’ils n’ont pas été résolus en janvier.