GitLab a publié un correctif de sécurité critique pour la CVE-2026-3094 (CVSS 9.6), une vulnérabilité d injection SQL affectant GitLab CE et EE versions 16.8 à 17.5. Un attaquant authentifié avec un accès Guest minimal peut exploiter cette faille dans l API GraphQL pour extraire l intégralité de la base de données, incluant les tokens d accès, les clés SSH et les variables CI/CD. L exploitation est triviale et des scripts automatisés circulent sur GitHub.
Détails de la vulnérabilité
| Attribut | Valeur |
|---|---|
| CVE | CVE-2026-3094 |
| CVSS 3.1 | 9.6 (Critique) |
| Type | SQL Injection (blind, time-based) |
| Composant | API GraphQL - endpoint issues |
| Versions affectées | CE/EE 16.8.0 - 17.5.3 |
| Versions corrigées | 17.5.4, 17.4.6, 16.11.12 |
| Privilèges requis | Guest (accès minimal) |
Impact et données exposées
L exploitation de cette faille permet d accéder à :
- Personal Access Tokens de tous les utilisateurs (permettant l usurpation d identité)
- Clés SSH enregistrées dans GitLab
- Variables CI/CD incluant les secrets, mots de passe et clés API
- Runner tokens permettant d exécuter du code sur les runners CI/CD
- Hash des mots de passe des utilisateurs locaux
Impact supply chain
Une instance GitLab compromise peut servir de point de pivot pour des attaques supply chain. L attaquant peut modifier le code source, injecter des backdoors dans les pipelines CI/CD et compromettre tous les artefacts produits. Vérifiez l intégrité de vos pipelines après le patching.
Remédiation
- Mettre à jour vers GitLab 17.5.4, 17.4.6 ou 16.11.12 immédiatement
- Révoquer tous les Personal Access Tokens et en générer de nouveaux
- Rotater les secrets CI/CD : variables d environnement, clés API, credentials
- Auditer les logs GraphQL : rechercher les requêtes suspectes sur l endpoint issues
- Vérifier l intégrité des pipelines : comparer les configurations CI/CD avec le versioning
Pour sécuriser vos pipelines de développement, consultez notre guide DevSecOps : Pipeline CI/CD sécurisé.
À retenir
Les plateformes de gestion de code source (GitLab, GitHub Enterprise, Bitbucket) sont des cibles à haute valeur car elles contiennent le code, les secrets et les pipelines de l organisation. Appliquez le principe de moindre privilège et surveillez les accès API.
Sources : GitLab Security Releases | NVD — National Vulnerability Database
Voir aussi : Pipeline DevSecOps sécurisé | Protection supply chain
À propos de l'auteur
Ayi NEDJIMI
Expert Cybersécurité Offensive & Intelligence Artificielle
Ayi NEDJIMI est consultant senior en cybersécurité offensive et intelligence artificielle, avec plus de 20 ans d'expérience sur des missions à haute criticité. Il dirige Ayi NEDJIMI Consultants, cabinet spécialisé dans le pentest d'infrastructures complexes, l'audit de sécurité et le développement de solutions IA sur mesure.
Ses interventions couvrent l'audit Active Directory et la compromission de domaines, le pentest cloud (AWS, Azure, GCP), la rétro-ingénierie de malwares, le forensics numérique et l'intégration d'IA générative (RAG, agents LLM, fine-tuning). Il accompagne des organisations de toutes tailles — des PME aux grands groupes du CAC 40 — dans leur stratégie de sécurisation.
Contributeur actif à la communauté cybersécurité, il publie régulièrement des analyses techniques, des guides méthodologiques et des outils open source. Ses travaux font référence dans les domaines du pentest AD, de la conformité (NIS2, DORA, RGPD) et de la sécurité des systèmes industriels (OT/ICS).
Ressources & Outils de l'auteur
Articles connexes
Commentaires
Aucun commentaire pour le moment. Soyez le premier à commenter !
Laisser un commentaire