GitLab CE／EE の複数の深刻な脆弱性 が FIX：二要素認証バイパスと DoS の恐れ

GitLab Security Flaws Could Allow Two-Factor Authentication Bypass and DoS

2026/01/21 gbhackers — GitLab が公開したのは、Community Edition (CE)／Enterprise Edition (EE) に影響を及ぼす、複数の脆弱性に対処する深刻な脆弱性に対するセキュリティ・アドバイザリである。二要素認証のバイパスやサービス拒否 (DoS) 攻撃に対する修正版として、すでにバージョン 18.8.2／18.7.2／18.6.4 が提供されている。すべてのセルフ・マネージド環境に対して GitLab が強く推奨するのは、速やかなアップグレードである。その一方で、GitLab.com にはすでにパッチが適用済みである。

深刻な認証バイパス脆弱性

最も深刻な脆弱性は CVE-2026-0723 (CVSS：7.4 High) であり、認証サービスにおける戻り値の検証不備に関する問題である。この欠陥により、被害者のクレデンシャル ID を把握している攻撃者は、偽造されたデバイス応答を送信することで二要素認証をバイパスできる。この脆弱性は GitLab バージョン 18.6〜18.8.1 に影響し、アカウント・セキュリティに対して深刻なリスクをもたらす。

この欠陥は、セキュリティ研究者 ahacker1 により発見され、GitLab の HackerOne バグバウンティ・プログラムを通じて報告された。特権アカウントに二要素認証を使用している組織は、このパッチを最優先で適用するよう求められる。

CVE IDVulnerabilityCVSS ScoreSeverity
CVE-2026-0723Unchecked Return Value in authentication services (2FA bypass)7.4High
CVE-2025-13927Denial of Service in Jira Connect integration7.5High
CVE-2025-13928Incorrect Authorization in Releases API7.5High
CVE-2025-13335Infinite Loop in Wiki redirects6.5Medium
CVE-2026-1102Denial of Service in API endpoint (SSH requests)5.3Medium
サービス拒否 (DoS) 脆弱性

さらに GitLab は、未認証の攻撃者に悪用を許す、3 件のサービス拒否問題を修正した。

  • CVE-2025-13927 (CVSS：7.5)：不正な認証データを取り込んだリクエストを Jira Connect 連携に送信することで GitLab インスタンスをクラッシュさせる脆弱性であり、GitLab バージョン 11.9 以降に存在している。
  • CVE-2025-13928：Releases API における認可検証の不備を突く未認証ユーザーにより、サービス停止に至る脆弱性であり、GitLab バージョン 17.7 以降に影響する。
  • CVE-2026-1102 (CVSS：5.3 Medium)：不正に細工された SSH 認証リクエストを繰り返し送信する攻撃者により、サービス拒否状態が引き起こされる。GitLab バージョン 12.3 以降に影響する。GitLab チームのメンバーである Thiago Figueiro により内部で発見された脆弱性である。
  • CVE-2025-13335：Wiki リダイレクトにおける無限ループの脆弱性である。認証済みユーザーが、循環検出を回避するよう細工された Wiki ドキュメントを作成することで、サービス停止を引き起こすことが可能になる。

GitLab が強調するのは、影響を受けるバージョンを実行しているすべてのセルフマネージド環境において、最新のパッチ・リリースへと速やかにアップグレードする必要があることだ。

アップグレードに際して、シングル・ノード構成では移行中にダウンタイムが発生するが、マルチノード構成ではゼロ・ダウンタイムでのアップグレード手順を実施できる。

同社は責任のある情報公開ポリシーを採用しており、組織がシステムを保護するための十分な時間を確保できるよう、パッチ公開から 30 日後に脆弱性の詳細を公表している。

GitLab のセルフマネージド版 Community Edition／Enterprise Edition において、アカウントの乗っ取りやサービスの強制停止を招く複数の深刻な脆弱性が発見されました。今回のアップデートで最も警戒すべきは、二要素認証 (2FA) 回避の脆弱性 CVE-2026-0723 であり、認証サービスの戻り値の検証不備を突く攻撃者が、偽造したデバイス応答を用いたなりすましが可能になります。

また、システムの可用性を脅かす複数のサービス拒否 (DoS) の脆弱性も修正されています。Jira Connect 連携への不正リクエストによるインスタンスのクラッシュや、Releases API の認可不備を突くサービス停止、さらには Wiki リダイレクト機能での無限ループなど、未認証の外部攻撃者によりGitLab が使用不能に陥るリスクが判明しています。ご利用のチームはご注意ください。よろしければ、GitLab での検索結果も、ご参照ください。