GitLabは木曜日、CVE-2023-2825として追跡されている最大深刻度のパストラバーサル脆弱性について、サーバーへのパッチ適用を直ちに行うようユーザーに呼びかけました。
この脆弱性は、’s3ntago‘というハンドル名を使うセキュリティ研究者によって発見され、GitLabのHackerOneバグ báunty プログラムを通じて報告されたもので、リポジトリコミットAPIにおけるパスの制限不備と認証強制の欠如に起因します。
GitLabによると、認証されていない攻撃者は「特定の条件下」でCVE-2023-2825を悪用し、脆弱なサーバーから任意のファイルを読み取ることが可能です。
前日には、GitLabはGraphQLサブスクリプションシリアライザーにおける安全でないデシリアライゼーションの脆弱性に起因する、もう一つの重大な脆弱性であるCVE-2026-87719にもパッチを適用しています。
CVE-2026-87719はGitLab EEに影響し、Duo Chatへのアクセス権を持つ認証済みユーザーが、機密性の高い認証情報やAdvanced Searchインスタンスの構成情報を窃取できてしまう脆弱性です。
GitLabは木曜日、これら2つのセキュリティ問題をGitLab Community Edition(CE)およびEnterprise Edition(EE)のバージョン19.3.2、19.2.6、19.1で修正し、システムへの即時パッチ適用をユーザーに強く呼びかけました。
同社は木曜日に発表した警告の中で、「これらのバージョンには重要なバグ修正およびセキュリティ修正が含まれており、自己管理型のGitLab環境はすべて直ちにこれらのバージョンのいずれかにアップグレードすることを強く推奨します」と述べています。「GitLab.comはすでにパッチ適用済みのバージョンで稼働しています。GitLab Dedicatedのお客様は対応の必要はありません」
2023年5月にも、GitLabは別の最大深刻度のパストラバーサル脆弱性(CVE-2023-2825)に対処しています。この脆弱性は、独自開発のソフトウェアコードやユーザー認証情報、トークン、未パッチサーバー上のファイルなど、機密性の高いデータを露出させるものでした。
その1年後、CISAとFBIはソフトウェア企業に対し、製品を出荷する前にパストラバーサル脆弱性を排除するよう呼びかけました。両機関は、こうした脆弱性について「少なくとも2007年以降、『許されざるもの』と呼ばれてきた」と述べています。
さらに最近では、1月にもGitLabは、コミュニティエディションおよびエンタープライズエディションに影響する深刻度の高い二要素認証バイパスの脆弱性にパッチを適用しました。この脆弱性は、標的のアカウントIDを知る攻撃者が二要素認証を回避できてしまうというものでした。
2021年11月以降、米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、GitLabの脆弱性のうち4件を実際の攻撃で悪用されたものとしてフラグ付けしています。そのうち2件(CVE-2021-22175およびCVE-2021-39935)は今年の2月にフラグ付けされました。
GitLabのDevSecOpsプラットフォームは3,000万人を超える登録ユーザーを抱え、Nvidia、Airbus、T-Mobile、Lockheed Martin、Goldman Sachs、UBSなど、フォーチュン100企業の50%以上に利用されています。
