重大な GitLab 脆弱性が DevOps パイプラインを露出

GitLab は、脅威アクターが XSS 攻撃を仕掛けたり、サービス拒否（DoS）を引き起こしたり、認証制御を回避したりする可能性のある 10 件の脆弱性（うち 4 件は深刻度「高」）に対処するため、緊急のセキュリティパッチをリリースしました。 

これらの脆弱性のいくつかは、「…認証されていないユーザーが不正な操作を実行できる」可能性があると、GitLab はアドバイザリで述べています。

GitLab 最新セキュリティ修正の概要

今回のリリースで対処された最も重大な問題は、GitLab が複数の一般的な機能において、ユーザー入力を処理する方法に存在する弱点に起因しています。 

複数のクロスサイトスクリプティング（XSS）および不適切なエンコードの欠陥（CVE-2025-12716、CVE-2025-8405、CVE-2025-12029として追跡）が存在し、攻撃者が Wiki コンテンツ、脆弱性レポート、Swagger UI コンポーネントに悪意あるスクリプトを注入できてしまいます。 

これらの欠陥が悪用されると、攻撃者は別のユーザーのセッションコンテキストで操作を実行したり、認証クッキーを盗み出したり、特権ユーザーになりすましたり、GitLab インスタンス内でアクセス権を昇格させたりすることが可能になります。

クライアントサイド攻撃にとどまらず、GitLab は GraphQL API における高深刻度のサービス拒否（DoS）脆弱性（CVE-2025-12562）にもパッチを適用しました。 

この欠陥により、認証されていない攻撃者が、組み込みの複雑性制限を回避する特別に細工されたクエリを構築し、過剰なサーバーリソースを消費させ、GitLab サービスを利用不能にする可能性があります。 

ExifTool による画像処理、Commit API エンドポイント、その他の GraphQL 機能にも追加の DoS の弱点が確認されており、CVSS スコアは最大 6.5 に達しています。 

個々の深刻度はそれほど高くないものの、これらの問題は連鎖的、あるいは繰り返し悪用されることで、本番環境におけるサービス可用性を妨害する恐れがあります。

中程度の深刻度の認証バイパス（CVE-2025-11984）も、リスクの範囲をさらに広げています。 

この欠陥は WebAuthn ベースの二要素認証フローに影響し、特定の条件下で、認証済みの攻撃者が一部のアクセス制御を回避できてしまいます。 

その他の修正には、エラーハンドリングを通じて内部データが漏えいする可能性のある情報漏えい脆弱性や、マージリクエストのタイトルに影響する HTML インジェクションの欠陥が含まれており、UI 操作やユーザー欺罔のリスクを高めています。

GitLab は、これらの脆弱性が実際に悪用されていることは確認していないものの、影響を受けるコンポーネントの範囲が広いこと、そして GitLab がインターネットに公開されているケースが多いことを踏まえると、そのリスクプロファイルは大きくなっています。 

特に外部からアクセス可能なセルフマネージド GitLab インスタンスを運用している組織にとって、これらの欠陥は、アカウント侵害、サービス障害、開発環境内でのラテラルムーブメントを防ぐために、迅速なパッチ適用がいかに重要かを浮き彫りにしています。

GitLab リスク低減への多層的アプローチ

パッチ管理に加え、設定のハードニングや可視性の向上を組み合わせることで、開発ワークフローを妨げることなく、チームはリスクをより適切に管理できます。 

• すべてのセルフマネージド GitLab インスタンスを直ちにパッチ適用済みバージョン（18.6.2、18.5.4、18.4.6）へアップグレードし、必要なデータベースマイグレーションのためのメンテナンスウィンドウを計画する。
• インターネットへの露出を制限し、未使用機能（パブリック Wiki や Swagger UI など）を無効化し、レート制限付きのWAFまたはリバースプロキシの背後に GitLab を配置することで、攻撃対象領域を縮小する。
• ログやテレメトリを監視し、不審な GraphQL クエリ、不正な形式の Wiki やマージリクエストのコンテンツ、認証の異常、認証されていない API の乱用を検知する。
• WebAuthn および MFA 設定を検証し、最小権限アクセスを徹底し、ユーザーおよびサービスアカウントの権限を定期的にレビューすることで、認証・認可を強化する。
• コンテンツセキュリティポリシー（CSP）ヘッダーや、カスタム統合、Webhook、拡張機能における厳格な入力検証など、アプリケーション層の保護を実装する。
• リクエストのスロットリング、接続数制限、リソース監視を実施し、スレッドやリソース枯渇の兆候を早期に検知することで、DoS に対する耐性を高める。
• 定期的なテスト、検知エンジニアリング、XSS・API 乱用・認証バイパスシナリオのシミュレーションを通じて、セキュリティ制御を継続的に検証する。

これらの対策を組み合わせることで、サービスの信頼性を維持しつつ、運用リスクを低減できます。

拡大するソフトウェアサプライチェーン攻撃面

GitLab のアドバイザリは、現代の DevOps 環境におけるより広範な傾向を反映しています。すなわち、プラットフォームが高機能化し相互接続性が高まるにつれ、ソフトウェアサプライチェーンを妨害しようとする攻撃者にとって、ますます魅力的な標的となっているということです。 

コラボレーション機能における XSS、API におけるサービス拒否の弱点、認証ワークフローの欠陥などの問題は、同等レベルの厳格なセキュリティ制御が伴わない場合、複雑性がどのように攻撃面を拡大させうるかを浮き彫りにしています。  

これらのリスクを総合的に見ると、個々の脆弱性だけに目を向けるのではなく、現代の DevOps を支える完全なソフトウェアサプライチェーン全体のセキュリティを評価する必要性が強調されます。