GitLabに3件の脆弱性 - セキュリティアップデートをリリース

GitLabは現地時間2025年5月7日、セキュリティアップデート「GitLab 17.11.2」「同17.10.6」「同17.9.8」をリリースした。

「GitLab Community Edition（CE）」「Enterprise Edition（EE）」向けにセキュリティパッチをリリースしたもの。バグ報奨金プログラムを通じて報告された3件の脆弱性に対処した。

具体的には、Device OAuthの認証フローにおいて、クロスウィンドウ攻撃により認可処理が部分的に回避される脆弱性「CVE-2025-0549」に対処。

GitHubインポートAPIの処理においてサービス拒否が生じるおそれがある「CVE-2024-8973」や、IPアドレスによる制限を回避し、制限されたプロジェクトのタイトルを取得できる「CVE-2025-1278」などが判明している。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2025-0549」が「6.8」、「CVE-2024-8973」が「6.5」、「CVE-2025-1278」が「5.3」と評価されている。

GitLabでは、影響を受ける利用者に対し、できるだけ早くアップデートを実施するよう呼びかけている。

（Security NEXT - 2025/05/09 ） ツイート

PR

関連記事

秘密管理ツール「OpenBao」に脆弱性 - 任意のコード実行が可能に
米政府、「Exchange Server」脆弱性で緊急指令 - 週末返上での対応求める
「JWE」のRuby実装に深刻な脆弱性 - 総当たり攻撃のおそれ
「Exchange Server」のハイブリッド構成に深刻な脆弱性 - MSが定例外パッチ
「Azure」や「MS 365 Copilot BizChat」に深刻な脆弱性 - 対応は不要
「HashiCorp Vault」のLDAP認証で多要素認証バイパスのおそれ
「Dell PowerProtect Data Domain」に複数脆弱性 - 重要度「クリティカル」
「NVIDIA Triton Inference Server」に複数の深刻な脆弱性
「Trend Micro Apex One」脆弱性でセキュリティ機関も注意喚起
「Trend Micro Apex One」に脆弱性、攻撃も発生 - パッチは8月中旬