GitLabは木曜日、同社のソフトウェア開発プラットフォームに存在する2件の深刻度の高い脆弱性に対する緊急パッチをリリースしました。うち1件は最高深刻度スコアを記録しており、あるセキュリティ企業はすでに攻撃者がインターネット上でこれらの脆弱性を探索している様子を確認したと報告しています。
同社はCommunity Edition・Enterprise Editionの両方の新バージョンで問題を修正し、自己ホスト型（self-managed）でインストールしているユーザーに対し、できるだけ早くアップグレードするよう呼びかけています。GitLabによれば、同社のホスト型サービスはすでに修正済みコードで稼働しており、シングルテナント型のDedicatedプランの顧客には影響がないとのことです。
2件のうち深刻度が高い方の脆弱性はCVE-2026-85706として追跡されており、リポジトリのコミットを扱うインターフェースに存在します。GitLabによると、特定の条件下でコードがファイルパスを適切に制限しておらず、認証も強制していなかったため、攻撃者がサーバー上の任意のファイルを読み取れる状態にあったとのことです。この脆弱性を悪用するのに、攻撃者はアカウントや認証情報を必要としません。
この脆弱性は18.7から19.1.8までの全リリース、および今週のパッチが適用される前の19.2系・19.3系にも影響します。GitLabはこの脆弱性に、業界で使われる評価尺度の最高値であるCVSSスコア10.0を割り当てています。
2つ目の脆弱性CVE-2026-87719は、GitLabのEnterprise Editionのみに影響します。同社によると、Duo Chatへのアクセス権を持つログイン済みユーザーが通常のリクエスト内にコマンドを潜ませることで、サーバーに対し高度検索(Advanced Search)機能の設定を自ら参照させることが可能であり、その結果、保持されている設定情報やパスワードが返される仕組みになっているとのことです。この脆弱性は18.3以降のリリースに影響し、CVSSスコアは9.9です。
WatchTowr Labsは金曜日のLinkedInの投稿で、パストラバーサルの脆弱性に対するスキャンをすでに観測していると述べました。同社によれば、攻撃者はHTTPリクエスト1回でこの脆弱性を引き起こせるとのことです。同社は、オープンインターネットからアクセス可能な自己ホスト型のGitLabサーバーを運用している組織が最も高いリスクにさらされていると指摘し、防御担当者に対してログを確認するよう促しました。具体的には、/api/v4/projects/{id}/repository/commits/配下のアドレスに対する、file.pathパラメータを含むPOSTリクエストを探すよう提案しています。
同社は過去のGitLabの脆弱性を踏まえ、パッチ公開後まもなく広範かつ無差別な攻撃が続く傾向があると述べています。
「これまでのGitLabの脆弱性の例から見て、無差別な悪用が始まるまでそう時間はかからないだろう」と、同投稿には記されています。
こうした警告にもかかわらず、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は金曜日午後の時点で、これらの脆弱性を既知の悪用された脆弱性(KEV)カタログにまだ追加していませんでした。
脆弱性に関する詳細情報はGitLabの公式サイトで確認できます。
翻訳元: https://cyberscoop.com/gitlab-critical-flaws-path-traversal-scans/
