GitLab Patches Vulnerabilities, Users Urged to Update Immediately
2024/03/28 SecurityOnline — 人気の DevOps プラットフォームである GitLab において、 Git Management Software バージョン 16.10.1／16.9.3／16.8.5 用の重要なセキュリティ・アップデートがリリースされた。これらのパッチで対処された脆弱性は、悪意のコードの実行から、システムの停止にいたる攻撃を引き起こし、ユーザーを危険にさらす可能性を持つものだ。
修正された主な脆弱性
今回のアップデートには Critical な脆弱性は含まれていないが、GitLab のアップデートでは、過小評価できない２件の脆弱性が修正されている：
CVE-2023-6371： Wiki ページにおける深刻度 “High” のXSS： この脆弱性の悪用に成功した攻撃者は、Wiki ページに悪意のコードを注入できる。疑うことを知らないユーザが、このコードを閲覧すると、認証情報の窃取・コンテンツの改ざんなどの、有害なアクションが実行される可能性がある。
CVE-2024-2818： 絵文字を解する深刻度の Medium の DoS： 絵文字を含む特殊なメッセージを作成する攻撃者は、GitLab システムを圧倒して、サービス拒否 (DoS) を引き起こす可能性がある。それにより、コラボレーションの中断や、重要なワークフローのオフラインが発生する可能性がある。
今すぐアップグレードを
GitLab の Community Edition (CE)／Enterprise Edition (EE) のユーザーに対して影響が及ぶため、パッチを適用した最新バージョンへのアップデートを急ぐ必要がある。時間の経過とともに、それらの脆弱性を、脅威アクターたちが悪用する可能性が高まる。
さらなる対応とは？
GitLab の積極的な情報公開から読み取るべきは、この脆弱性報告の重要性である。このアップデートには、以下が含まれている：
- PostgreSQL のアップグレード：基礎となるデータベースのセキュリティとパフォーマンスを向上させる。
- バグの修正： さまざまな安定性に寄与し、使い易さの問題に対処する。
GitLab でセキュリティを保つ： ベストプラクティス
アップデートは極めて重要であるが、それだけで終わらせてはならない。GitLab でセキュリティ体制を強化する方法を、以下に紹介する：
- セキュアなソフトウェア開発：セキュアなコーディング・プラクティスに従い、脆弱性スキャンツールを開発パイプラインに統合し、コードをデプロイする前に、脆弱性を徹底的にテストする。
- ユーザーの教育： フィッシングやソーシャルエンジニアリングのテクニックについて、チームをトレーニングする。
- アップデートの監視： GitLab のセキュリティ・アドバイザリをサブスクライブし、最新のパッチや脆弱性について常に把握する。
GitLab に脆弱性が２件です。調べてみたら、2024年に入ってから、２回目のアップデートのようです。前回は、2024/01/30 の「GitLab の緊急アップデート：CVSS 9.9 の脆弱性 CVE-2024-0402 を FIX」です。よろしければ、GitLab で検索と併せて、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.