- CISAが深刻なパストラバーサル脆弱性であるGitLabのCVE-2026-85706をKEVカタログに追加
- すでに悪用が確認されており、攻撃者は認証なしでcommits API経由で機密ファイルを読み取り可能
- GitLabはCE/EEの19.3.2、19.2.6、19.1でパッチを適用済み。政府機関には3日以内の更新が求められている
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、新たなGitLabの脆弱性をKEVカタログに追加し、実際に悪用が進行中であるとして利用者に警告しています。
GitLabはすでにCommunity Edition(CE)およびEnterprise Edition(EE)を19.3.2、19.2.6、19.1に更新し、複数の脆弱性を修正しています。その中には深刻度が最高レベルのものが2件含まれていました。リポジトリのcommits APIにおけるパストラバーサルの問題と、GraphQLサブスクリプションシリアライザーにおける安全でないデシリアライゼーションの問題です。
前者はCVE-2026-85706として追跡されており、深刻度スコアは10点満点中10です。この脆弱性は、リポジトリのcommits APIにおける認証強制の欠如と、パスの制限が不適切であることに起因しており、認証されていない攻撃者がログイン認証情報やシークレットなど、さまざまな機密情報を読み取ることを可能にしてしまいます。
KEVへの追加
GitLabはアドバイザリの中で、これらの脆弱性が実際に悪用されているかどうかについては言及していませんでした。しかし、その翌日に公開されたサイバーセキュリティ専門家watchTowrの別のレポートでは、悪用が確認されていると報告されています。
「watchTowr Intelは、最新の深刻なGitLabパストラバーサル脆弱性であるCVE-2026-85706を狙った実際の探索行為をすでに観測しています。この脆弱性により、攻撃者は単一のHTTPリクエストで任意のファイルを読み取ることが可能です」と研究者らは述べています。
「これまでのGitLabの脆弱性の傾向から見て、無差別な悪用が始まるまでの時間はそう長くないと考えられます。[中略]防御側は、’file.path’パラメータを含む’/api/v4/projects/{id}/repository/commits/’のURIへのHTTP POSTリクエストがないか、ログファイルを調査し、悪用の兆候がないか確認すべきです」
同時にCISAは、この脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加し、悪用の実態を裏付けるとともに、政府機関の利用者にパッチ適用のためのわずか3日間という猶予を与えました。
GitLabは、DevSecOpsの専門家向けのインテリジェントなオーケストレーションプラットフォームであり、組織がソフトウェア開発サイクルを自動化・効率化するのを支援しています。SEC提出資料によれば、登録ユーザー数は5,000万人を超え、そのうちフォーチュン100企業の約50%が含まれています。
