GitLabのセキュリティ脆弱性がクロスサイトスクリプティングと未認証DoSを許可

GitLabは、大規模な脆弱性の波を中和するために緊急のセキュリティアップデートを発行しました。

脅威アクターはこれらの新たに開示された欠陥を悪用して、開発者セッションを静かに乗っ取るか、未認証の攻撃で継続的統合パイプラインを完全に麻痺させる可能性があります。

GitLabのセキュリティ脆弱性

2026年5月13日、GitLabはコミュニティエディション(CE)とエンタープライズエディション(EE)の両方に対して、重要なパッチバージョンをリリースしました18.11.3、18.10.6、および18.9.7。この包括的なセキュリティスイープは、25の異なる脆弱性を解決し、高い影響を持つクロスサイトスクリプティング(XSS)とサービス拒否(DoS)エクスプロイトに重点を置いています。

自己管理型インスタンスの管理者は、これらのフローが機密コードベースと内部ワークフローを深刻な侵害にさらすため、これらの更新を直ちに適用する必要があります。

このパッチサイクルで最も懸念される脆弱性は、4つの高度な重大度のXSSバグであり、それぞれCVSSスコア8.7の重大な評価を持っています。

これらの欠陥は、分析ダッシュボード、グローバル検索機能、Duoエージェント出力レンダリングを含む、頻繁に使用されるGitLab機能全体での不適切な入力サニタイゼーションから生じています。

悪用された場合、標準的なアクセス許可を持つ認証済み攻撃者は、他のユーザーのブラウザで任意のJavaScriptを実行できる可能性があります。

悪意のあるインサイダーまたは侵害された開発者アカウントは、これを使用して、即座のセキュリティアラームをトリガーせずに、アクティブなセッションを静かに乗っ取ったり、認証トークンを盗んだり、リポジトリを操作したりできます。

スクリプト注入の他に、GitLabは認証なしで悪用される可能性のある3つの深刻なDoS脆弱性(CVSS 7.5)に対応しました。CI/CDジョブ更新API、DuoワークフローAPI、または内部APIエンドポイントに特別に作成されたリクエストまたは不正形式のJSONペイロードを送信することで、攻撃者は大規模なサーバリソース消費をトリガーできます。

これにより、外部の脅威アクターが遠くから開発サーバを意図的にクラッシュさせ、会社のソフトウェア配信パイプラインを停止し、コストのかかる運用ダウンタイムを引き起こす可能性があります。

パッチはまた、多くの中度の深刻度のアクセス制御と認可フローを修復しています。特に、GraphQL(CVE-2026-1322)の不適切な認可問題により、制限されたトークンスコープを持つユーザーが非公開プロジェクトで問題を作成およびコメントできました。

その他の修正された問題には、JiraConnect購読のCSRF脆弱性、NuGetシンボルサーバーの非公開デバッグシンボルへの不正アクセス、および標準開発者がパッケージ保護ルールをバイパスする機能が含まれます。

GitLab.comのユーザーは既に保護されています。クラウドプラットフォームは現在、パッチされたバージョンを実行しているためです。ただし、GitLab CEおよびEEの自己管理デプロイメントに依存する組織は、引き続き露出しています。

システム管理者は、これらの重大な攻撃ベクトルに対してその開発インフラストラクチャを保護するために、すぐにインスタンスをバージョン18.11.3、18.10.6、または18.9.7にアップグレードする必要があります。