Suivi KEV › GitLab

CVE-2021-22205 GitLab, éditions Community et Enterprise : vulnérabilité d'exécution de code à distance

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 novembre 2021.

  • Produit : GitLab Community and Enterprise Editions
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 17 novembre 2021
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-20, CWE-95
  • Gravité : CVSS 10,0 (critique)
  • Probabilité d’exploitation (EPSS) : 100 %
  • Technologie : GitLab

Les éditions GitHub Community et Enterprise qui utilisent la capacité de téléverser des images via GitLab Workhorse sont vulnérables à une exécution de code à distance. workhorse transmet les extensions de fichiers image à exiftool, qui valide incorrectement les fichiers image.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 10,0 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 99,7 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • gitlab : versions ≥ 11.9.0 et < 13.8.8
  • gitlab : versions ≥ 13.9.0 et < 13.9.6
  • gitlab : versions ≥ 13.10.0 et < 13.10.3

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Génération de code non contrôlée (CWE-94) : Le produit construit tout ou partie d'un segment de code en utilisant une entrée influencée par un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la syntaxe ou le comportement du segment de code prévu.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

GitLab Community and Enterprise Editions Remote Code Execution Vulnerability

GitHub Community and Enterprise Editions that utilize the ability to upload images through GitLab Workhorse are vulnerable to remote code execution. Workhorse passes image file extensions through ExifTool, which improperly validates the image files.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de GitLab Community and Enterprise Editions

  • CVE-2021-39935 — GitLab, éditions Community et Enterprise : vulnérabilité de falsification de requêtes côté serveur (SSRF) (3 février 2026)

← Toutes les failles GitLab · Suivi KEV