GitLab a publié un correctif de sécurité critique pour la CVE-2026-3094 (CVSS 9.6), une vulnérabilité d injection SQL affectant GitLab CE et EE versions 16.8 à 17.5. Un attaquant authentifié avec un accès Guest minimal peut exploiter cette faille dans l API GraphQL pour extraire l intégralité de la base de données, incluant les tokens d accès, les clés SSH et les variables CI/CD. L exploitation est triviale et des scripts automatisés circulent sur GitHub.

Détails de la vulnérabilité

AttributValeur
CVECVE-2026-3094
CVSS 3.19.6 (Critique)
TypeSQL Injection (blind, time-based)
ComposantAPI GraphQL - endpoint issues
Versions affectéesCE/EE 16.8.0 - 17.5.3
Versions corrigées17.5.4, 17.4.6, 16.11.12
Privilèges requisGuest (accès minimal)

Impact et données exposées

L exploitation de cette faille permet d accéder à :

  • Personal Access Tokens de tous les utilisateurs (permettant l usurpation d identité)
  • Clés SSH enregistrées dans GitLab
  • Variables CI/CD incluant les secrets, mots de passe et clés API
  • Runner tokens permettant d exécuter du code sur les runners CI/CD
  • Hash des mots de passe des utilisateurs locaux

Impact supply chain

Une instance GitLab compromise peut servir de point de pivot pour des attaques supply chain. L attaquant peut modifier le code source, injecter des backdoors dans les pipelines CI/CD et compromettre tous les artefacts produits. Vérifiez l intégrité de vos pipelines après le patching.

Remédiation

  1. Mettre à jour vers GitLab 17.5.4, 17.4.6 ou 16.11.12 immédiatement
  2. Révoquer tous les Personal Access Tokens et en générer de nouveaux
  3. Rotater les secrets CI/CD : variables d environnement, clés API, credentials
  4. Auditer les logs GraphQL : rechercher les requêtes suspectes sur l endpoint issues
  5. Vérifier l intégrité des pipelines : comparer les configurations CI/CD avec le versioning

Pour sécuriser vos pipelines de développement, consultez notre guide DevSecOps : Pipeline CI/CD sécurisé.

À retenir

Les plateformes de gestion de code source (GitLab, GitHub Enterprise, Bitbucket) sont des cibles à haute valeur car elles contiennent le code, les secrets et les pipelines de l organisation. Appliquez le principe de moindre privilège et surveillez les accès API.

Sources : GitLab Security Releases | NVD — National Vulnerability Database

Voir aussi : Pipeline DevSecOps sécurisé | Protection supply chain