GitLab の重大な脆弱性、認証ユーザーによるコマンド実行が可能に
secure-clip_編集担当
ライター
この記事のポイント
- GitLabの自社サーバーに6月パッチを当てていない企業は緊急対応が必要です
- プロジェクトアクセス権のある従業員による内部脅威のリスクが高まっています
- 至急システム更新を実施し、アクセス権の見直しを進めてください
セキュリティ研究者が7月24日に、GitLabの重大な脆弱性を悪用するコード（PoC）を公開しました。この脆弱性は6月10日にパッチが配布されていたにもかかわらず、未更新のサーバーはいまも危険な状態です。問題は、プロジェクトに対してアクセス権を持つ認証ユーザーなら誰でも、特殊な細工を施したファイルを使って管理者権限でコマンドを実行できる点です。つまり、従業員など内部関係者による悪用のリスクが高まります。自社でGitLabを運用している場合、すぐにシステムを最新版に更新することが重要です。
よくある質問
- クラウド版GitLabを使っていれば安全ですか？
- はい。クラウド版は自動更新されるため、この脆弱性の影響を受けません。自社サーバーで運用している場合のみ対応が必要です。
- すべての従業員がこの脆弱性を悪用できるのですか？
- いいえ。プロジェクトへのプッシュ権限を持つユーザーのみが実行可能です。アクセス権を最小限に絞ることが対策になります。
- 更新を遅延させるリスクはどの程度ですか？
- 悪用コードが既に公開されているため、攻撃される可能性が高い状態です。可能な限り急いで更新してください。
情報源：The Hacker News
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
本記事は上記情報を元に編集部が翻訳・要約・編集したものです。原文の正確な翻訳を保証するものではありません。
