GitLab の複数の脆弱性が FIX：DoS 攻撃や不適切なアクセス制御の問題に対応

Multiple Gitlab Security Vulnerabilities Let Attackers Trigger DoS Condition

2025/10/22 CyberSecurityNews — GitLab がリリースしたのは、Community Edition (CE)／Enterprise Edition (EE) に存在する、複数の深刻なセキュリティ脆弱性に対処するパッチ・バージョン 18.5.1／18.4.3／18.3.5 である。これらの脆弱性に含まれるものには、深刻度の高いサービス拒否 (DoS) 攻撃の欠陥がある。今回のアップデートで修正されたのは、細工されたペイロードによりシステムが過負荷状態に陥る問題や、認証済みユーザーに影響するアクセス制御および認証のバグである。

GitLab が推奨するのは、すべてのセルフ・マネージド・インストールに対する即時のアップグレードである。ただし、GitLab[.]com は既に保護されており、Dedicated ユーザーによる対応は不要である。

最も緊急性の高い修正には、深刻度が High／Medium と評価された３つの DoS 脆弱性がある。これらの脆弱性が未認証のリモート攻撃者に悪用されると、GitLab インスタンスがクラッシュする可能性がある。

１つ目の脆弱性 CVE-2025-10497 (CVSS：7.5) はイベント収集に関連するものであり、未認証のユーザーが細工したペイロードを送信することで、リソース枯渇とサービス拒否を引き起こす。

この脆弱性の影響が及ぶ範囲は、パッチ適用前の CE/EE バージョン 17.10 以降であり、悪用における複雑性は低く、可用性への影響は高いとされる。

２つ目の脆弱性 CVE-2025-11447 (CVSS：7.5) は、GraphQL リクエストにおける JSON 検証の欠陥の悪用を許すものであり、影響が及ぶ範囲はバージョン 11.0 以降となる。悪意のペイロードを用いる未認証の攻撃者により、システム・フラッディングが生じ得る。

３つ目の脆弱性 CVE-2025-11974 (CVSS 6.5) は、API エンドポイントへのファイル・アップロード時に発生し、未認証のソースからの大容量ファイルにより、大量のリソース消費へといたる。この脆弱性の影響が及ぶ範囲はバージョン 11.7 以降であるが、一部のシナリオでは低権限でのアクセスが必要になる。

これらの脆弱性は、GitLab 社内で発見され、HackerOne プログラムを通じて報告された。イベント処理／データ検証／アップロードのメカニズムにおいて、このプラットフォームが脆弱であることを示している。

CVE IDDescriptionSeverityCVSS ScoreImpacted Versions (CE/EE unless noted)
CVE-2025-10497DoS in event collectionHigh7.517.10 before 18.3.5, 18.4 before 18.4.3, 18.5 before 18.5.1​
CVE-2025-11447DoS in JSON validationHigh7.511.0 before 18.3.5, 18.4 before 18.4.3, 18.5 before 18.5.1​
CVE-2025-11974DoS in uploadMedium6.511.7 before 18.3.5, 18.4 before 18.4.3, 18.5 before 18.5.1​

前述の DoS 脅威以外にも、CVE-2025-11702 (CVSS：8.5) のような影響度の高い脆弱性も、今回のパッチで修正される。そこに含まれるものには、EE の Runner API における深刻度の高い不適切なアクセス制御の問題がある。この脆弱性を悪用する認証済みユーザーは、プロジェクト間での Runner を乗っ取ることが可能になる。

また、脆弱性 CVE-2025-11971 (CVSS：6.5) は、CE パイプライン・ビルドにおける不正な認証の問題であり、コミット操作による不正実行を可能にするものだ。

低深刻度のものとしては、EE グループ・メンバーシップにおけるビジネス・ロジック・エラーの脆弱性 CVE-2025-6601 (CVSS：3.8) と、クイック・アクションにおける承認不足 CVE-2025-11989 (CVSS：3.7) があり、意図しないアクセスやコマンド実行を引き起こす可能性がある。

これらの修正は GitLab の半年ごとのパッチ・スケジュールに沿ったものであり、リリースから 30日後の課題トラッカーで詳細は公開される。今回のアップデートに含まれるバグ修正は、Redis gem のダウングレード／接続プールエラー／バージョン間の Geo ルーティング・リークにも対処している。

緩和策

GitLab が強く推奨するのは、すべての影響を受けるセルフ・マネージド・インスタンスを直ちにアップグレードし、Omnibus／Source／Helm デプロイメントにおけるリスクを軽減することだ。現時点では、エクスプロイトは報告されていない。

LotLab ハンドブックの記載に従うユーザーは、定期的なパッチ適用などのベストプラクティスを介して、セキュリティ対策を強化できる。プロアクティブなアップデートにより、開発ワークフローの中断を未然に防ぐべきである。

GitLab CE／EE に存在する複数の脆弱性が修正されました。主な原因には、イベント収集／GraphQL の JSON 検証／ファイル・アップロードにおける不適切な入力検証や、Runner API やパイプラインのアクセス制御の欠陥などがあります。それにより、認証の不備が生じ、認証済みユーザーによる越権操作を許し得たと、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、GitLab で検索を、ご参照ください。