CVE-2024-11274: GitLab Vulnerability Exposes User Accounts
2024/12/11 SecurityOnline — GitLab が公表したのは、Community Edition (CE)／Enterprise Edition (EE) 17.6.2／17.5.4／17.4.6 に影響を及ぼす、複数の脆弱性に対処するセキュリティ・アップデートである。このアップデートで対処される欠陥が悪用されると、アカウント乗っ取り／サービス拒否攻撃／情報漏洩などの、深刻な結果につながる恐れがある。
今回のアップデートで修正された脆弱性のうち、以下の２件が深刻度 High と分類されている：
CVE-2024-11274 (CVSS 8.7)
kubernetes プロキシのレスポンスに対する NEL (Network Error Logging) ヘッダーの注入により、セッション・データの漏洩につながる可能性がある脆弱性。この脆弱性を悪用する攻撃者は、ユーザーのセッション・データを盗み、アカウントへの不正アクセスを試みる可能性がある。
CVE-2024-8233 (CVSS 7.5)
認証されていない diff-file へのリクエストを、繰り返して送信する攻撃者に対して、サービス拒否攻撃をゆるす可能性がある脆弱性。GitLab のバージョン 9.4 以降に影響する。
また、深刻度 Medium／ Low と評価された、以下の脆弱性も修正されている。
- CVE-2024-12570
CI_JOB_TOKEN の悪用の脆弱性。攻撃者は、盗んだ CI_JOB_TOKEN を使用して、ユーザー・セッションにアクセスする可能性がある。 - CVE-2024-9387／CVE-2024-8647
オープン・リダイレクトとパス・トラバーサルの脆弱性。これらの脆弱性は、フィッシング攻撃や情報漏洩に悪用される可能性がある。 - CVE-2024-8179
XSS (Cross-Site Scripting) と HTML インジェクションの脆弱性。不適切な出力エンコーディングの脆弱性であり、CSP (Content Security Policy) が無効化されてにいる場合に、XSS 攻撃を引き起こす可能性がある。 - CVE-2024-8116
情報漏洩の脆弱性。権限のない攻撃者に、機密情報へのアクセスを許す可能性がある。対象となる情報は、プライベート・プロジェクトのブランチ名や、インシデントの詳細などである。
これらの脆弱性の一部は、HackerOne バグ・バウンティ・プログラムを通じて、セキュリティ研究者たちにより報告されている。これらの脆弱性によるリスクを軽減するため、GitLab がすべてのユーザーに対して推奨するのは、最新のバージョンへの速やかなアップデートである。
GitLab CE/EE の複数の脆弱性が FIX しました。おそらく、定例的なアップデートであり、緊急性の高いものではないと思います。とは言え、CVSS 値の高いものも含まれるので、ご利用のチームは、ご注意ください。よろしければ、GitLab で検索も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.