Votre pipeline CI/CD GitLab a-t-il des fuites
Si vous bossez avec le CI/CD de GitLab, y’a un angle mort que vous n’avez probablement jamais vérifié : La config de votre pipeline elle-même. Celle qui décide quelles images faire tourner et quels secrets exposer sans oublier les jobs à lancer. Et ça personne ne la scanne !
C’est d’ailleurs exactement cet angle d’attaque qu’ont choisi les pirates derrière
l’attaque tj-actions
en mars 2025, qui a touché plus de 23 000 organisations en modifiant simplement des tags de version. Ou encore
l’attaque sur Trivy
, où un scanner de sécurité s’est retrouvé lui-même vérolé. Le schéma est toujours le même : on s’infiltre comme Mario, par la tuyauterie et pas par la porte d’entrée.
