GitLab CE/EE の脆弱性 CVE-2024-9164 などが FIX：直ちにアップデートを！

CVE-2024-9164 (CVSS 9.6): GitLab Users Urged to Update Now

2024/10/09 SecurityOnline — 10月9日に GitLab がリリースした、 Community Edition(CE)／Enterprise Edition(EE) のバージョン 17.4.2／17.3.5／17.2.9 は、いくつかのセキュリティ・アップデートを取り込んだものである。これらのアップデートは、８件の脆弱性に対処するものだが、その中には、深刻度 Critical と評価される、脆弱性 CVE-2024-9164 も含まれている。この脆弱性の悪用に成功した攻撃者は、任意のブランチでパイプラインを実行する可能性を得るため、影響を受けるインスタンスに重大なセキュリティ・リスクが生じる。

今回のアップデートで対処された、上記の脆弱性 CVE-2024-9164 は、GitLab EE の 12.5 から 17.2.9 未満の全バージョンに影響を及ぼす。この脆弱性の悪用に成功した攻撃者は、任意のブランチでパイプライン実行を達成し、機密データやシステムへの不正アクセスの可能性を手にする。この脆弱性には、深刻度が高いことを示す CVSS スコア 9.6 が割り当てられている。

このアップデートで対処された、その他の重要な脆弱性には、以下のものがある：

• CVE-2024-8970：特定の条件下で、任意のユーザーへのなりすましを許し、不正な操作やデータ漏洩につながる可能性がある。
• CVE-2024-8977：Analytics ダッシュボードの SSRF (server-side request forgery) 脆弱性により、内部のリソースやサービスへのアクセスを許す可能性がある。
• CVE-2024-9631：マージ・リクエストの競合における、コードの差異の表示に費やされる時間により、DoS (denial-of-service) 状態にいたる可能性がある。
• CVE-2024-6530：OAuthページにおける XSS (cross-site scripting) の脆弱性により、悪意のスクリプトが挿入され、ユーザー・データ窃取にいたる可能性がある。

すでに GitLab は、CE／EE のバージョン 17.4.2／17.3.5／17.2.9 で、これらの脆弱性を修正している。ユーザーに対して強く推奨されるのは、これらのバージョンのいずれかに、ただちにアップグレードすることだ。

GitLab CE/EE の複数の脆弱性が FIX しましたが、その中の CVE-2024-9164 は Critical なものであり、注意が必要とのことです。最近の GitLab 関連の記事としては、2024/10/06 の「Ruby-SAML／GitLab の脆弱性 CVE-2024-45409 が FIX：認証バイパス PoC が登場」が気になっています。よろしければ、GitLab で検索と併せて、ご参照ください。