米CISA、GitLabの重大な脆弱性を既知の脆弱性カタログに追加

米国のサイバーセキュリティ・インフラストラクチャ保護局（CISA）は、GitLabのサーバー製品に存在する脆弱性を既知の脆弱性カタログ（KEV）に追加した。この脆弱性は、サイバー犯罪者によって実際の攻撃で活発に悪用されていると警告されている。

GitLabは、コミュニティエディションとエンタープライズエディションの19.3.2、19.2.6、および19.1ブランチ向けの修正をリリースし、複数の脆弱性を修正した。その中には2つの重大な脆弱性が含まれている。1つはリポジトリのコミットAPIにおけるパストラバーサル脆弱性で、もう1つはGraphQLサブスクリプションシリアライザーにおける安全でないデシリアライゼーションの問題である。

パストラバーサル脆弱性はCVE-2026-85706として識別され、脅威評価は10点満点中10点という最高レベルに設定された。この脆弱性は、リポジトリのコミットAPIにおける必須の認証の欠如とファイルシステムへのアクセス制限の不備に関連しており、認証されていない攻撃者が機密情報、アカウント情報、および非公開の詳細を読み取れる可能性がある。watchTowrのセキュリティ専門家は、この脆弱性の悪用試みが確認されたと報告し、単一のHTTPリクエストで任意のファイルを読み取れると指摘した。彼らは、大規模な攻撃が始まる前にログファイルを確認し、特定のパラメータを持つPOSTリクエストを検索することを推奨した。CISAのカタログ追加により、政府機関にはソフトウェアの更新のために3日間の猶予が与えられた。GitLabは、ソフトウェアの開発、テスト、セキュリティチェック、およびデプロイのプロセスを統合し自動化するプラットフォームであり、登録ユーザーは5000万人を超え、フォーチュン100企業のおよそ半数が導入している。