「GitLab」にアップデート - 脆弱性4件やバグを解消

GitLabは現地時間2025年8月27日、複数の脆弱性に対処したアップデート「GitLab 18.3.1」「同18.2.5」「同18.1.5」をリリースした。

「GitLab Community Edition（CE）」「Enterprise Edition（EE）」における脆弱性に対処したセキュリティパッチで、バグ報奨金プログラムを通じて報告された4件の脆弱性へ対処した。

重要度はいずれも4段階中、上から3番目にあたる「中（Medium）」とレーティングされている。「クリティカル（Critical）」や「高（High）」とされる脆弱性は含まれていない。

具体的には、認証済みユーザーがインポート機能を悪用し、大量のレスポンスデータを生成するURLを指定することでサービス拒否を引き起こす脆弱性「CVE-2025-3601」を修正した。

「GraphQL」のエンドポイントにおける認証不備によりマニュアル設定された機密性が高いCI/CD変数へアクセスできる「CVE-2025-2246」や、「GraphQL」リクエストを送信することでDoS攻撃が行える「CVE-2025-4225」、リポジトリインポート処理において正規のコードに見せかけて不正コードを配布できる「CVE-2025-5101」などへ対処した。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「6.5」から「5.0」のレンジで評価されている。脆弱性のほかにも複数バグを修正しており、同社では早急にアップデートを実施するよう利用者に推奨している。

（Security NEXT - 2025/08/28 ） ツイート

PR

関連記事

「TeamCity」の脆弱性悪用に注意 - 対応状況の確認や侵害調査を
Ciscoがアップデートを事前告知 - 8月19日に修正版を公開予定
GitLab、XSSをはじめ脆弱性13件を解消
「Ivanti EPM」や「Ivanti Neurons for MDM」に脆弱性 - 修正を実施
「OpenSSL」に脆弱性 - 今後のリリースで修正予定
Windows向け「LINE PC版」のインストーラに脆弱性 - 最新版の利用を
「Adobe Campaign Classic」に緊急更新 - 半月で3度目
Adobe、パッチチューズデーに複数製品の脆弱性を修正
「FortiOS」に複数脆弱性 - 修正版や仮想パッチを用意
会議参加者間でRCE攻撃が可能となる脆弱性 - Zoomが修正