GitLab a publié une série de correctifs de sécurité urgents pour remédier à plusieurs vulnérabilités affectant ses éditions Community Edition (CE) et Enterprise Edition (EE).
Les versions corrigées — 18.5.2, 18.4.4 et 18.3.6 — résolvent des problèmes critiques susceptibles de permettre à des attaquants de dérober des données sensibles, de contourner les contrôles d’accès et de compromettre des fonctionnalités reposant sur l’IA.
Selon GitLab, les entreprises qui exploitent des instances autogérées doivent effectuer la mise à jour immédiatement, car plusieurs vulnérabilités peuvent être exploitées sans privilèges avancés.
Attaque par injection de prompts dans GitLab Duo
La faille la plus grave concerne une vulnérabilité d’injection de prompts dans la fonctionnalité de revue de code de GitLab Duo.
Des attaquants pouvaient insérer des instructions malveillantes dissimulées dans les commentaires de demandes de fusion et tromper l’IA pour lui faire révéler du contenu confidentiel provenant de tickets privés.
GitLab a identifié cette faille dans les versions 17.9 et ultérieures d’Enterprise Edition.
Comme cette attaque ne nécessite ni logiciel malveillant manifeste ni accès direct à des ressources protégées, elle constitue une menace pour les environnements de développement qui s’appuient sur des flux de travail assistés par l’IA.
L’injection dissimulée de prompts représente une nouvelle catégorie d’attaques propres à l’IA, dans laquelle la manipulation des entrées entraîne une exposition des données plutôt qu’une exécution de code.
Autres vulnérabilités dans les composants de GitLab
La dernière mise à jour de sécurité de GitLab corrige plusieurs vulnérabilités notables affectant sa plateforme.
Parmi celles-ci figurent CVE-2025-11224, une faille XSS de gravité élevée dans le proxy Kubernetes permettant à des utilisateurs authentifiés d’exécuter des scripts malveillants, ainsi que CVE-2025-11865, une faiblesse d’autorisation permettant à des utilisateurs de supprimer des flux de travail d’IA appartenant à d’autres utilisateurs.
La mise à jour corrige également plusieurs problèmes de divulgation d’informations, notamment CVE-2025-2615 et CVE-2025-7000, qui permettent à des utilisateurs bloqués d’établir des abonnements GraphQL ou d’afficher des noms de branches sensibles, ainsi que CVE-2025-6171, qui expose les métadonnées des paquets même lorsqu’un dépôt est restreint.
Les autres correctifs concernent notamment CVE-2025-11990, une faille de traversée de répertoires déclenchée par des noms de branches conçus à cet effet ; CVE-2025-7736, une faille de contrôle d’accès dans GitLab Pages permettant de contourner OAuth ; et CVE-2025-12983, un problème de déni de service provoqué par du contenu Markdown spécialement conçu.
Considérations relatives à la mise à niveau
Les services de GitLab hébergés dans le cloud ont déjà été mis à jour, et aucune action n’est requise de la part des clients de GitLab.com ou de GitLab Dedicated.
En revanche, les clients autogérés doivent effectuer la mise à niveau immédiatement. GitLab précise que certaines mises à jour impliquent des migrations de bases de données et que les installations à nœud unique subiront une interruption de service.
Les environnements multinœuds peuvent effectuer des mises à niveau avec une interruption quasi nulle en suivant les procédures recommandées par GitLab sur son site.
Contrôles de sécurité supplémentaires pour réduire les risques
Bien qu’il soit essentiel d’appliquer les mises à jour de sécurité de GitLab, les entreprises doivent également mettre en place des contrôles supplémentaires pour réduire les risques. Parmi ces contrôles figurent :
- Réserver GitLab Duo et les autres fonctionnalités assistées par l’IA aux utilisateurs de confiance ou aux projets de confiance, en attendant que les protections contre les injections de prompts gagnent en maturité.
- Appliquer strictement les règles de RBAC et de protection des branches, en limitant les personnes autorisées à créer des demandes de fusion, des commentaires, des flux de travail et à effectuer des opérations sensibles.
- Renforcer la journalisation et la supervision en suivant les activités GraphQL inhabituelles, les suppressions de flux de travail, les schémas d’accès aux branches et les comportements anormaux des utilisateurs.
- Déployer des protections WAF/XSS et assainir les entrées des demandes de fusion afin de bloquer les scripts malveillants, les prompts dissimulés et les charges utiles conçues à cet effet avant qu’ils n’atteignent les services de GitLab.
- Sécuriser les pipelines CI/CD en isolant les runners, en appliquant le principe du moindre privilège, en validant tous les artefacts et en recherchant les dépendances non sécurisées dans les intégrations.
- Limiter l’exposition publique des instances GitLab grâce à la segmentation réseau et à l’autorisation par liste d’adresses IP, et renouveler régulièrement les jetons, les clés d’API et les identifiants OAuth.
Alors que les acteurs de la menace exploitent de plus en plus l’IA pour mener des attaques plus ciblées, une défense en profondeur et une surveillance continue restent essentielles.
La dernière mise à jour de sécurité de GitLab souligne la complexité croissante de la sécurisation des écosystèmes de développement modernes.
Les problèmes traditionnels tels que les XSS, les défaillances des contrôles d’accès et les fuites d’informations restent fréquents, mais les fonctionnalités reposant sur l’IA introduisent désormais de nouvelles surfaces d’attaque.
rend les principes du zero-trust plus essentiels que jamais pour sécuriser le cycle de vie du développement logiciel.