ベンダーは、顧客に対しできるだけ早くパッチ適用済みリリースへアップグレードするよう強く推奨しています。
GitLabは水曜日、Community Edition（CE）とEnterprise Edition（EE）の更新版を公開しました。認証なしでさまざまな操作が可能になるものを含め、12件のバグとセキュリティ問題に対処しています。
セキュリティ上の問題で最も深刻なのは、重大度が「クリティカル」とされる整数オーバーフローの問題CVE-2026-110264です。GitLabはセキュリティ情報で、次のように説明しています。「特定の条件下で、細工された正規表現をコンパイルする際に整数オーバーフローが発生し、認証されていないユーザーがGitLabサーバー上で任意のコードを実行できる可能性がありました。GitLabはこの問題を修正しました。通常のパッチリリースに加え、この修正をGitLab CE/EEのバージョン18.11.13、19.0.10、19.1.9、19.2.9にもバックポートしました」
影響を受けるGitLab CE/EEのバージョンは、7.0から18.11.13未満までのすべてのバージョン、19.0から19.0.10未満、19.1から19.1.9未満、19.2から19.2.9未満、19.3から19.3.6未満、19.4から19.4.3未満、19.5から19.5.1未満です。
パッチ適用済みのリリースは、19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13です。
今回のパッチでは、重大度「高」の脆弱性CVE-2026-15723も修正されています。GitLab CE/EEに影響する、OmniAuthからLDAPへの自動リンクにおけるメールアドレス検索の不適切な認証の問題です。GitLabによると、「OmniAuth SAMLとLDAP自動リンクの両方が有効な場合、OmniAuthのID連携時に使われるLDAPメール検索経路で入力のサニタイズが不適切だったため、認証済みユーザーが、対象ユーザーの操作なしに、LDAPに紐づく既存アカウントを乗っ取れる可能性があった」ことが問題だとしています。
GitLabで重大なセキュリティ問題が見つかるのは、2か月足らずの間でこれが4件目です。10月初めには最高重大度の正規表現の欠陥を修正しました。9月には、同じく重大度が満点の10とされたCVE-2026-85706にも対処しています。同じ9月には、CI/CDのセキュリティを危険にさらす長期有効トークンという懸念すべき問題も報告されました。
アナリストやコンサルタントは、今回の脆弱性は深刻で、直ちに対応すべきだとの見方で一致しています。
「特に注目すべきは、脆弱性の根本的な原因です」と、Digital 520のプリンシパルコンサルタントであるNoah Kenney氏は語ります。「問題の発生源は、GitLabが独自に開発した機能ではなく、正規表現コンパイラ内の整数オーバーフローです」
同氏は、この違いが重要なのは、依存関係や共有ソフトウェアコンポーネントに伴うリスクが浮き彫りになるからだと指摘します。「組織は自社アプリケーションの保護に多額の投資をしても、基盤となるライブラリやフレームワークから持ち込まれる脆弱性にはさらされたままになりかねません。この問題がGitLab 7.0にさかのぼるリリースに影響する可能性があるという事実は、こうした脆弱性が発見・修正されるまでどれほど長く残り続けうるかを示しています」
Kenney氏はさらに、CISOはGitLabの発表にある短い記載にも特に注意を払うべきだと付け加えました。
「バグ修正の中に埋もれていて、CVEの一覧にも載っていませんが、Workhorseにおいて、クライアントから渡されたMCPツールの信頼済みフラグを削除するという記載があります」と同氏は言います。「平たく言えば、GitLabは、AIエージェントが本来信頼すべきでないツールを渡されてしまう経路を見つけ、ひそかに塞いだということです。AI対応システムにおける信頼境界の問題を提起しています」
Dickson ResearchのプリンシパルアナリストであるFrank Dickson氏は、GitLabのシステムが高度に統合されていることから、今回の脆弱性は特に厄介だと指摘しました。
「GitLabは単なるコードリポジトリではありません。ソースコードやCI/CDパイプラインを保持し、多くの場合、パイプラインが本番環境へのデプロイに使う機密情報（シークレット）まで保管しています」と同氏は話します。「GitLabサーバーを握られることは、王国の鍵を握られることを意味します。本番環境を構築するシステムが代わりにやってくれるなら、攻撃者が本番環境に侵入する必要はありません」
Dickson氏は、これらの修正の適用に多くの時間がかかる可能性があることにも注意を促しました。
「ダウンタイムを見込んでおくべきです」と同氏は言います。「GitLabのリリースノートによると、今回のパッチにはデータベースマイグレーションが含まれており、単一ノード構成のインスタンスは実行中、停止します。週末まで待ってほしいという声も出るでしょう。しかし、待つことはリスクを受け入れることです。その判断はDevOpsチームではなく、経営層が下すべきものです」
その他のリスク
さらに同氏は、こうした欠陥の性質を踏まえると、他の多くのエンタープライズ向けベンダーも同様の問題を抱えている可能性があると、強く警告しています。
「この欠陥はGitLab独自のコードだけでなく、Rubyにあります。GitLabのリリースノートによると、修正はRubyの正規表現処理へのパッチとして提供されており、検出項目の一つにはRubyの正規表現エンジンであるOnigmoの名前が付いています」とDickson氏は述べました。「このバグを抱えているRubyアプリケーションは、GitLabだけではないかもしれません。CISOは他のベンダーにも確認すべきです」
また、アドバイザリー会社UHYのプリンシパルであるTy Coffee氏は、LDAPのバグによって、侵害後の調査で無実の従業員が誤って疑われるリスクが高まると指摘しました。
「攻撃者がLDAPに紐づくアカウントを乗っ取ると、その行動はすべて正規の従業員の名前で記録され、監査証跡は無関係の人物を指し示すことになります」とCoffee氏は述べます。「CISOは、チームが独自に運用しているインスタンス、古いDR（災害復旧）用コピー、買収した企業のサーバーなど、シャドーITやレガシーのGitLabサーバーがないかも確認すべきです。影響は7.0までさかのぼるため、忘れられたサーバーも対象に含まれます」
この記事はもともとInfoWorldに掲載されたものです。
