GitLab、セキュリティアップデートを公開 - 脆弱性12件を解消

GitLabは、「Community Edition（CE）」および「Enterprise Edition（EE）」向けにアップデートとなる「同17.6.2」「同17.5.4」「同17.4.6」を公開した。

現地時間12月11日にセキュリティアドバイザリを公開し、脆弱性12件のほか、バグを解消したことを明らかにしたもの。脆弱性の11件はバグ報奨金プログラムを通じて報告されたもので、のこる1件は内部で発見したという。

具体的には、重要度が上から2番目に高い「高（High）」とされる脆弱性2件を修正した。Kubernetesプロキシレスポンスにおける「Network Error Logging（NEL）」ヘッダの注入に起因し、セッションデータが漏洩する「CVE-2024-11274」を解消したほか、認証なしにリクエストを繰り返すことでサービス拒否を引き起こすことができる「CVE-2024-8233」に対応した。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2024-11274」が「8.7」、「CVE-2024-8233」は「7.5」と評価されている。

このほか、OAuthフローの悪用やクロスサイトスクリプティング（XSS）など、重要度が「中（Medium）」とされる8件や、「低（Low）」とされる2件を階小している。

できる限り早急に最新版へ更新するよう求めている。今回のアップデートで修正された脆弱性は以下のとおり。なお、1件の脆弱性については、アドバイザリ公開時点でCVE番号が申請中のため、採番されていない。

CVE-2024-8116
CVE-2024-8179
CVE-2024-8233
CVE-2024-8647
CVE-2024-8650
CVE-2024-9367
CVE-2024-9387
CVE-2024-9633
CVE-2024-10043
CVE-2024-11274
CVE-2024-12292

（Security NEXT - 2024/12/12 ）ツイート

GitLab、セキュリティアップデートを公開 - 脆弱性12件を解消

関連リンク

PR

関連記事