GitLab

GitLabは、Community Edition (CE)およびEnterprise Edition (EE)の複数の不具合に対応するセキュリティアップデートをリリースしました。

CVE-2024-9164として追跡されているこの脆弱性は、権限のないユーザーがリポジトリの任意のブランチ上で継続的インテグレーション/継続的デリバリー（CI/CD）パイプラインを起動できるようにするものです。

CI/CD パイプラインは、コードのビルド、テスト、デプロイなどのタスクを実行する自動化されたプロセスで、通常は適切な権限を持つユーザーのみが利用できます。

ブランチの保護をバイパスできる攻撃者は、コードの実行や機密情報へのアクセスを行う可能性がある。

この問題は、CVSS v3.1レーティングで9.6（クリティカル）と評価され、12.5から17.2.8まで、17.3から17.3.4まで、17.4から17.4.1までのすべてのGitLab EEバージョンに影響を与えます。

パッチはバージョン17.4.2、17.3.5、17.2.9で利用可能になっており、GitLabユーザーのアップグレード対象になっている。

「以下に説明する問題の影響を受けるバージョンを実行しているすべてのインストールは、できるだけ早く最新バージョンにアップグレードすることを強く推奨します」とGitLabのセキュリティ情報は警告している。

GitLab Dedicatedの顧客は、クラウドでホストされているインスタンスが常に利用可能な最新バージョンで実行されているため、何らかの措置を講じる必要はないことが明らかにされている。

CVE-2024-9164に加え、GitLabの最新リリースは以下のセキュリティ問題に対処しています：

  • CVE-2024-8970: 重要度の高い任意のユーザーによるなりすましの不具合により、攻撃者が別のユーザーとしてパイプラインをトリガーできる可能性があります。
  • CVE-2024-8977: Analytics Dashboard に SSRF 攻撃を受ける脆弱性があります。
  • CVE-2024-9631: 衝突のあるマージリクエストの差分を表示する際に、パフォーマンスが低下する重大性の高い欠陥があります。
  • CVE-2024-6530：OAuth ページに深刻度の高い HTML インジェクションの脆弱性があり、OAuth 認証中にクロスサイトスクリプティングを許していました。
  • CVE-2024-9623、CVE-2024-5005、CVE-2024-9596：アーカイブされたリポジトリへの鍵のプッシュによるデプロイ、ゲストユーザによる API 経由でのプロジェクトテンプレートの公開、権限のないユーザへの GitLab インスタンスバージョンの公開を含む、低～中程度の深刻度の脆弱性。

GitLabパイプラインは最近、プラットフォームとそのユーザーにとってセキュリティ脆弱性の絶え間ない原因であることが証明されています。

GitLabは先月CVE-2024-6678、7月にCVE-2024-6385、6月にCVE-2024-5655と、今年に入り何度も任意のパイプライン実行の脆弱性に対処しており、いずれもクリティカルと評価されている。

手順、ソースコード、パッケージについては、GitLabの公式ダウンロードポータルをチェックしてください。最新のGitLab Runnerパッケージはこちらから入手できます。