GitLab、CVSS 10.0の脆弱性を修正。認証なしで任意コード実行の恐れ

ITmedia NEWS が報じたところでは、GitLab に深刻度が「最大」とされる脆弱性が見つかった。CVSS の評価は 10.0 で、認証なしで任意のコードを実行される恐れがあるため、修正版の適用が求められている。

入手できているのは見出しのみで、脆弱性の識別番号、影響を受けるエディションやバージョン、攻撃の条件、すでに悪用されているかどうかは確認できていない。

CVSS は脆弱性の深刻度を 0 から 10 の範囲で示す指標で、10.0 は最も高い評価にあたる。「認証なし」で攻撃できるということは、攻撃者がアカウントを持っていなくても、ネットワーク経由でサーバーに到達できれば悪用できる可能性を意味する。任意のコードを実行されれば、サーバーを乗っ取られることにもつながる。

GitLab にはソースコードだけでなく、CI/CD の設定や、デプロイに使う認証情報、各種の秘密鍵が保管されていることが多い。侵害されれば、保管されたコードの流出にとどまらず、そこから本番環境や取引先へ攻撃が広がるおそれがある。自社でサーバーを立てて運用している場合は、インターネットからの到達範囲を確認するとともに、修正版の適用を最優先で進めることが重要だ。