GitLab の緊急アップデート：脆弱性 CVE-2024-5655 (CVSS 9.6) などが FIX

GitLab Releases Critical Updates to Address Multiple Vulnerabilities

2024/06/26 SecurityOnline — DevOps ライフサイクル・ツールの主要プラットフォームである GitLab は、Community Edition (CE)／Enterprise Edition (EE) 向けのクリティカル・アップデートをリリースした。新バージョンの 17.1.1／17.0.3／16.11.5 には、重要なセキュリティとバグの修正が含まれている。GitLab は全てのユーザーに対して、潜在的な悪用からインストールを保護するため、直ちにアップグレードするよう呼びかけている。

主なセキュリティ修正
  • CVE-2024-5655 (CVSS 9.6)：任意のユーザーとしての不正なパイプライン実行

GitLab 15.8 以降に影響する、この脆弱性は、攻撃者が特定の条件下で別のユーザーとしてパイプラインを起動することを許し、重大なセキュリティ・リスクをもたらす。この脆弱性に対するパッチは、Merge Request (MR) の再ターゲット・ワークフローを変更するものであり、ターゲット・ブランチがマージされた際に、ユーザーが手動でパイプラインを開始する必要がある。さらに、CI_JOB_TOKENを使用した GraphQL 認証がデフォルトで無効化されるため、別の認証方法が必要になる。

  • CVE-2024-4901 (CVSS 8.7)：インポートされたプロジェクトのコミット・ノートの蓄積型 XSS

GitLab 16.9 以降に影響する、この蓄積型 XSS (Cross-Site Scripting) 脆弱性は、インポートされたプロジェクトの悪意のコミット・ノートを通して悪用される可能性がある。悪用に成功した攻撃者は、ユーザー・セッションのコンテキスト内で、任意のスクリプトを実行できるようになる。

  • CVE-2024-4994 (CVSS 8.1)：GraphQL API IntrospectionQuery における CSRF

この CSRF (Cross-Site Request Forgery) の脆弱性 は、GitLab 16.1.0 以降の全てのバージョンに影響する。この脆弱性を悪用する攻撃者は、任意の GraphQL 変数を実行し、GitLab インスタンス内で不正なアクションを引き起こす可能性を手にする。

修正された他の脆弱性

GitLab の最新リリースでは、他にもいくつかの重要な脆弱性に対処している：

  • CVE-2024-6323 (CVSS 7.5)：グローバル検索における不適切な権限設定により、公開プロジェクト内のプライベート・リポジトリの内容が漏洩する。
  •  CVE-2024-2177 (CVSS 6.8)：ユーザー・アプリケーションの OAuth フローにおけるクロスウィンドウ・フォージェリの脆弱性。
  •  CVE-2024-5430 (CVSS 6.8)：プロジェクトのメンテナがグループ。マージ要求の承認ポリシーを回避できる。
  • CVE-2024-4025 (CVSS 6.5)：カスタムビルドの markdown ページを経由した、正規表現によるサービス拒否 (ReDoS：Regular Expression Denial of Service) の脆弱性。
  • CVE-2024-3959 (CVSS 6.5)：プライベートなジョブ成果物への不正アクセス。
  • CVE-2024-4557 (CVSS 6.5)：Banzai パイプラインのセキュリティ修正。
  • CVE-2024-1493 (CVSS 6.5)：依存性リンカーの ReDoS。
  • CVE-2024-1816 (CVSS 5.3)：細工された OpenAPI ファイルを使用したサービス拒否 (DoS：Denial of Service)。
  • CVE-2024-2191 (CVSS 5.3)：マージ要求のタイトルの公開。
  • CVE-2024-3115 (CVSS 4.3)：SSO セッション無しでの epics へのアクセス問題。
  • CVE-2024-4011 (CVSS 3.1)：プロジェクト・メンバー以外を主要な結果を目標に昇格させる。
直ちにアップグレードを！

今のところ GitLab は、これらの脆弱性の悪用を確認していないが、これらの欠陥の深刻度を考えると、早急な対応が必要である。GitLab CE／EEのユーザーに強く推奨されるのは、インストールのセキュリティと完全性を確保するために、バージョン 17.1.1／17.0.3／16.11.5 へと直ちにアップグレードすることである。

GitLab から、大量の脆弱性に対するアップデートです。その中には、脆弱性 CVE-2024-5655 のような、深刻度の高いものも含まれますので、ご利用のチームは、ご注意ください。よろしければ、GitLab で検索も、ご利用ください。