CI/CD Security

🔍 Contexte Le 28 octobre 2026, l’équipe Alpine Linux a publié un post-mortem détaillé sur son site officiel (alpinelinux.org) concernant une tentative d’exploitation de leur instance GitLab entre le 20 et le 21 octobre 2026. 🛡️ La vulnérabilité CVE-2026-97229 est une vulnérabilité critique (CVSS 10.0) affectant la manière dont GitLab évalue les expressions régulières dans les configurations CI. Le bug sous-jacent réside dans Onigmo, le moteur d’expressions régulières intégré à Ruby. GitLab a publié des correctifs le 12 octobre 2026, mais le fix nécessite un patch spécifique à Ruby, non inclus dans les builds Ruby standards. Ruby upstream a publié le correctif le 23 octobre dans les versions 3.3.13, 3.4.12 et 4.0.9. ...

L’article publié par ReversingLabs met en lumière l’importance croissante du Policy-as-Code (PaC) comme priorité stratégique pour les organisations cherchant à automatiser les contrôles de sécurité et de conformité dans les flux de travail de développement. En transformant les politiques organisationnelles en formats lisibles par machine, les équipes peuvent déplacer les vérifications de sécurité plus tôt dans le cycle de développement, améliorer la cohérence et réduire les erreurs manuelles. L’implémentation du PaC s’appuie généralement sur l’Open Policy Agent (OPA) comme moteur de politique avec le langage de politique déclaratif Rego. Les points d’intégration techniques incluent les environnements Kubernetes (avec des outils comme Kyverno), la validation de l’Infrastructure-as-Code (Terraform avec HashiCorp Sentinel), et l’application des pipelines CI/CD via des outils comme Conftest et Checkov. ...

L’article publié par StepSecurity fournit un guide complet pour les équipes de sécurité d’entreprise sur les meilleures pratiques pour sécuriser les secrets GitHub Actions dans les workflows CI/CD. Le guide met l’accent sur des mesures de sécurité critiques telles que la rotation des secrets, l’accès le moins privilégié, les contrôles basés sur l’environnement et la gouvernance organisationnelle. Parmi les recommandations clés figurent la restriction des secrets organisationnels à des dépôts spécifiques, la mise en place de révisions obligatoires pour les secrets de production, l’évitement des secrets dans les journaux, et l’établissement d’une gestion appropriée du cycle de vie des secrets pour prévenir l’exposition des identifiants et l’accès non autorisé. ...