GitLab、高リスクの脆弱性を修正するセキュリティパッチをリリース

中抜き

GitLabは、2つの重大な脆弱性を修正したセキュリティアップデートをリリースしました。そのうちの1つは、ユーザーの操作なしでアカウントを乗っ取るために悪用される可能性があります。

脆弱性の詳細

CVE-2023-7028

CVE-2023-7028と番号付けされたこの脆弱性は、CVSSスコアリングシステムで最高評価の10.0を獲得しており、攻撃者は認証されていない電子メールアドレスにパスワードリセットの電子メールを送信するだけで、アカウントを乗っ取ることができる。

この脆弱性は、ユーザーがセカンダリー・メールボックス経由でパスワードをリセットできるようにするメールボックスの検証プロセスの欠陥に起因する。

影響を受けるバージョン

管理されていないGitLab Community Edition (CE) とEnterprise Edition (EE)のインスタンスで、以下のバージョンが影響を受けます：

• バージョン16.1、16.1.6未満
• バージョン16.2、16.2.9未満
• バージョン16.3、16.3.7未満
• バージョン16.4、16.4.5未満
• バージョン16.5、16.5.6未満
• バージョン16.6、16.6.4未満
• バージョン16.7、16.7.2未満

復旧対策

GitLabによると、GitLabのバージョン16.5.6、16.6.4、16.7.2で脆弱性を修正し、バージョン16.1.6、16.2.9、16.3.7、16.4.5に移植したという。

提案

潜在的な脅威を軽減するために、できるだけ早くインスタンスを固定バージョンにアップグレードし、特に昇格した権限を持つユーザーに対して二重認証を有効にすることをお勧めします。