GitLabユーザーに対し、同プラットフォームの最高深刻度の脆弱性にパッチを適用するよう呼びかけが行われています。「実環境での」悪用が報告されているためです。
CVE-2026-85706は「制限されたディレクトリへのパス名の不適切な制限」、いわゆる「パストラバーサル」の脆弱性とされています。
このDevSecOpsオーケストレーションプラットフォームは、9月10日に問題を修正しました。
「GitLabはGitLab CE/EEにおける問題を修正しました。これはバージョン18.7から19.1.8未満、19.2から19.2.6未満、19.3から19.3.2未満の全バージョンに影響するもので、特定の条件下では、リポジトリコミットAPIにおけるパス制限の不備と認証チェックの欠落により、未認証のユーザーがGitLabサーバー上の任意のファイルを読み取ることが可能でした」とセキュリティ勧告は述べています。
GitLab自体はこの脆弱性が悪用されているとは指摘していませんが、他のセキュリティ関係者はそう指摘しています。
サイバーセキュリティベンダーのwatchtowerは9月11日、この重大な脆弱性を狙った「実環境での探索」をすでに検知していると発表しました。
「これまでのGitLabの脆弱性の傾向から見て、無差別な悪用が始まるまでの時間はそう長くないとみられます」と同社は付け加えています。
「インターネットに公開された形でGitLabを自社運用している組織は、できるだけ早くパッチを適用するか、外部からのアクセスを遮断すべきです」
同ベンダーは、”/api/v4/projects/{id}/repository/commits/”というURIに対する、”file.path”パラメータを含むHTTP POSTリクエストをログファイルから探すことで、悪用が試みられた可能性を特定するよう顧客に呼びかけています。
CISAのKEVカタログにも新たに追加
同じ9月11日、米サイバーセキュリティ・インフラセキュリティ庁(CISA)はCVE-2026-85706を既知の悪用された脆弱性(KEV)カタログに追加しました。
「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁に用いられる攻撃経路であり、連邦政府機関に重大なリスクをもたらします」と同庁は述べています。
KEVに登録された脆弱性の修正が義務付けられているのは民間の連邦機関のみで、今回の期限は9月15日です。しかし、これは民間企業にとってもベストプラクティスとみなされています。
「クラウドサービスについては該当するBOD 26-04のガイダンスに従うか、緩和策が利用できない場合は当該製品の使用を中止してください」とCISAは推奨しています。
セキュリティ専門家は、AIツールによって攻撃志望者が新たな脆弱性を武器化する速度が以前より格段に速まっていると同時に、新規の欠陥をより容易に発見できるようになっていると警告しています。
さかのぼって5月には、Google Threat Intelligence Group(GTIG)が、脅威アクターがAIを用いてゼロデイ脆弱性を特定・悪用していた事例を初めて明らかにしたと発表しています。
画像提供: Samuel Boivin / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/hackers-exploit-maximum-severity/
