GitLab、セキュリティアップデートを公開 - 脆弱性12件を解消

GitLabは、「Community Edition（CE）」および「Enterprise Edition（EE）」向けにアップデートとなる「同17.6.2」「同17.5.4」「同17.4.6」を公開した。

現地時間12月11日にセキュリティアドバイザリを公開し、脆弱性12件のほか、バグを解消したことを明らかにしたもの。脆弱性の11件はバグ報奨金プログラムを通じて報告されたもので、のこる1件は内部で発見したという。

具体的には、重要度が上から2番目に高い「高（High）」とされる脆弱性2件を修正した。Kubernetesプロキシレスポンスにおける「Network Error Logging（NEL）」ヘッダの注入に起因し、セッションデータが漏洩する「CVE-2024-11274」を解消したほか、認証なしにリクエストを繰り返すことでサービス拒否を引き起こすことができる「CVE-2024-8233」に対応した。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2024-11274」が「8.7」、「CVE-2024-8233」は「7.5」と評価されている。

このほか、OAuthフローの悪用やクロスサイトスクリプティング（XSS）など、重要度が「中（Medium）」とされる8件や、「低（Low）」とされる2件を階小している。

できる限り早急に最新版へ更新するよう求めている。今回のアップデートで修正された脆弱性は以下のとおり。なお、1件の脆弱性については、アドバイザリ公開時点でCVE番号が申請中のため、採番されていない。

CVE-2024-8116
CVE-2024-8179
CVE-2024-8233
CVE-2024-8647
CVE-2024-8650
CVE-2024-9367
CVE-2024-9387
CVE-2024-9633
CVE-2024-10043
CVE-2024-11274
CVE-2024-12292

（Security NEXT - 2024/12/12 ） ツイート

PR

関連記事

子ども向けプログラミング講座の案内メールで誤送信 - 藤沢市
講座受講者一覧表を紛失、メモから発覚 - 厚木市
サーバでランサム被害を確認、影響など調査 - 八王子中高校
従業員が顧客クレカをスキミング - サムギョプサル店
契約照会システムで利用者の個人情報が閲覧可能に - 生保協会
「OpenAM」に深刻な脆弱性 - アップデートを公開
「SolarWinds WHD」に複数脆弱性 - SAML認証回避のおそれも
「PHP」に複数の脆弱性 - セキュリティリリースを公開
「TrendAI Vision One」に深刻な脆弱性 - 2025年に修正済み
「Ruby on Rails」に深刻な脆弱性「KindaRails2Shell」