「GitLab」に緊急パッチ、CVSS満点「10.0」の脆弱性 ～認証なしでサーバーファイルを読まれる

「GitLab」の緊急パッチがリリース

　米GitLabは9月10日（現地時間）、「GitLab」の緊急パッチ v19.3.2、v19.2.6、v19.1.8 をリリースした。「Community Edition」（CE）と「Enterprise Edition」（EE）の両方が対象で、計18件の脆弱性が修正されている。

　なかでも、リポジトリのコミットAPIにおけるパストラバーサルの欠陥「CVE-2026-85706」には警戒が必要。アクセス先のパスを適切な範囲に制限できていなかった上、認証チェックも欠けていたため、条件によっては認証されていないユーザーがGitLabサーバー上の任意のファイルを読み取れた可能性がある。CVSS基本値は満点の「10.0」。

　深刻度が4段階中もっとも高い「Critical」（致命的）と評価された脆弱性は、これを含めて以下の2件。

• CVE-2026-85706（CVSS 10.0）：リポジトリのコミットAPIにおけるパストラバーサル。CE/EEが対象
• CVE-2026-87719（CVSS 9.9）：GraphQLサブスクリプションのシリアライザーにおける安全でないデシリアライゼーション。細工した「GraphQL」サブスクリプションの引数でシリアライズ処理を回避され、「Duo Chat」へのアクセス権を持つ認証済みユーザーに「Advanced Search」の設定や認証情報を取得されるおそれがあった。EEが対象

　残りは4段階中2番目に高い「High」が6件、「Medium」が9件、「Low」が1件。「High」と評価されたものには、認証済みユーザーが細工した「Git」プロジェクトのエクスポートファイルをインポートすることで、リモートコードを実行できるおそれがある「CVE-2026-88765」（CVSS 8.5、EEが対象）も含まれる。そのほかにも、今回のパッチには不具合の修正も含まれているとのこと。

　同社は、影響を受けるバージョンを使っているすべての環境について、できるだけ早く利用中の系列に対応した修正版へアップデートするよう強く推奨している。

　なお、「GitLab.com」はすでに修正済みのバージョンで稼働しており、「GitLab Dedicated」の利用者も対応は不要。対応が必要なのは、自分でGitLabを運用している（self-managed）環境だ。