「GitLab」にまたも緊急パッチ、CVSS基本値「10.0」の脆弱性に対処

「GitLab」の緊急パッチがリリース

　米GitLabは10月12日（現地時間）、「GitLab」の緊急パッチ v19.4.2、v19.3.5、v19.2.8 をリリースした。「Community Edition」（CE）と「Enterprise Edition」（EE）が対象で、計24件の脆弱性が修正されている。同社は、自分で運用しているすべての「GitLab」を、ただちにこれらのバージョンへアップグレードするよう強く推奨している。

　深刻度が4段階中もっとも高い「Critical」（致命的）と評価されたのは、以下の1件。CI/CDの設定に細工した正規表現を仕込むことで、認証されていないユーザーが「GitLab」サーバー上で任意のコードを実行できるおそれがあるというもので、CVSS基本値は最大の「10.0」だ。

• CVE-2026-97229（CVSS 10.0）：CI/CDの正規表現コンパイラーの整数オーバーフロー。CE/EEが対象

　この脆弱性の影響を受けるのは、v19.2.0～v19.2.7、v19.3.0～v19.3.4、v19.4.0～v19.4.1。

　残りは4段階中2番目に高い「High」が5件、「Medium」が14件、「Low」が4件。「High」には、シンタックスハイライトのクロスサイトスクリプティング（XSS）や、「GitLab Duo Agent Platform」で認証済みユーザーがAIエージェントへの指示に細工した内容を注入し、ほかのユーザーの操作として意図しないコマンドを実行させるおそれがある問題（EEのみ）などが含まれる。そのほかにも、不具合の修正が含まれているとのこと。

　なお、「gitlab.com」はすでに修正済みのバージョンで稼働しており、「GitLab Dedicated」の利用者も対応は不要とのこと。対応が必要なのは、自分で「GitLab」を運用している（self-managed）環境の場合だ。