GitLabは、DevOpsプラットフォームのコミュニティ版とエンタープライズ版に影響を与える重大な脆弱性に対処するため、ユーザーに再び対応を急がせています。この脆弱性は、継続的インテグレーション/継続的デリバリー（CI/CD）パイプラインに影響を与え、攻撃者がGitLabシステム内の任意のユーザーとしてパイプラインを実行することを可能にします。脆弱性はCVE-2024-6385として識別され、CVSSスケールで最大10点中9.6の重大度評価を受けています。影響を受けるのは、GitLab CE/EEのバージョン15.8以前、16.11.6以前の17.0、および17.1.2以前の17.1です。GitLabは、この問題に対する修正を遅らせないようユーザーに強く促しています。
この脆弱性は、2週間前にGitLabが修正した重大な欠陥と似ていますが、完全に同一ではありません。CVE-2024-5655は特定のAPI呼び出しを通じた悪用に焦点を当てていましたが、CVE-2024-6385はGitLab CI/CDパイプラインプロセス内のより広範な潜在的攻撃ベクトルに関与しています。攻撃者は特定のGitLab環境内の有効なユーザーアカウントを必要としますが、これは成功した悪用の可能性を低下させます。GitLabは、この脆弱性を悪用することは未特権攻撃者にとって複雑さが少ないと評価していますが、環境自体の複雑さと必要な知識は、技術的に不慣れな攻撃者にとって障壁となる可能性があります。
この脆弱性は、過去2.5ヶ月間でGitLabのDevOpsプラットフォームに影響を与えた3つ目の重大なバグです。5月には、攻撃者がアカウントを完全に乗っ取ることができる最大重大度の不適切なアクセス制御バグが公開され、バグの公開後の日々に広範な悪用活動を受けて、CISAはこのバグを既知の悪用された脆弱性カタログに追加しました。
【ニュース解説】
GitLabは、そのDevOpsプラットフォームのコミュニティ版とエンタープライズ版において、継続的インテグレーション/継続的デリバリー（CI/CD）パイプラインを攻撃者が乗っ取る可能性のある新たな重大な脆弱性に対応しています。この脆弱性は、攻撃者がGitLabシステム内の任意のユーザーとしてパイプラインを実行できるようにするもので、CVE-2024-6385として識別されています。この問題は、CVSSスケールで最大10点中9.6の重大度評価を受けており、GitLabの特定のバージョンに影響を与えます。
この脆弱性は、GitLabが以前に修正した別の重大な欠陥と似ていますが、完全に同一ではありません。前回の欠陥は特定のAPI呼び出しを通じた悪用に焦点を当てていましたが、今回の脆弱性はGitLab CI/CDパイプラインプロセス内のより広範な潜在的攻撃ベクトルに関連しています。これにより、攻撃者がGitLabシステム内の任意のユーザーとしてさまざまな操作を実行できる可能性があります。
攻撃者がこの脆弱性を悪用するためには、特定のGitLab環境内で有効なユーザーアカウントを持っている必要があります。これは、成功した悪用の可能性を低下させる要因ですが、内部からの脅威や、既に侵害されたアカウントを利用する外部攻撃者による悪用のリスクは依然として存在します。
この脆弱性の発見は、GitLabのユーザーにとって過去2.5ヶ月間で3つ目の重大なセキュリティ上の懸念事項となります。これは、DevOpsプラットフォームを利用する組織にとって、セキュリティ対策の見直しと強化の重要性を改めて示しています。特に、アクセス制御の不備や、システム内での権限昇格を可能にする脆弱性は、攻撃者による悪用のリスクを高め、組織のデータやコードの安全性を脅かす可能性があります。
このような脆弱性に対処するためには、GitLabが提供するセキュリティアップデートを迅速に適用することが重要です。また、システムの監視とセキュリティ対策の継続的な強化を通じて、未知の脆弱性や潜在的な攻撃ベクトルに対する防御体制を確立することが求められます。このプロセスには、適切なアクセス制御の実装、定期的なセキュリティ監査、および疑わしい活動の監視と迅速な対応が含まれます。これらの対策は、組織のセキュリティ体制を強化し、将来的なセキュリティインシデントのリスクを軽減するために不可欠です。
from GitLab Sends Users Scrambling Again With New CI/CD Pipeline Takeover Vuln.
