Vulnérabilité dans GitLab

CVE-2021-22205[Score CVSS v3.1: 10]

Le développeur William Bowling a identifié une vulnérabilité du type « injection de commande » dans les produits Community Edition et Enterprise Edition de GitLab.

Lorsqu’un utilisateur télécharge des fichiers images vers le serveur GitLab, ceux-ci sont traités par l’outil Exiftool. La vulnérabilité se base précisément sur le processus effectué par cet outil qui risque, au cours de son déroulement, d’exécuter certaines métadonnées (des données décrivant d’autres données). De ce fait, si un code malveillant est écrit d’une certaine manière dans les métadonnées d’un fichier image, il sera exécuté sur le serveur.

Un attaquant distant et non-authentifié pourrait exploiter cette vulnérabilité, en téléchargeant un fichier contenant une charge malveillante, pour exécuter du code arbitraire sur le serveur ciblé. Cette vulnérabilité semble être exploitée.