ギットラボ「CVSS10.0」の脆弱性、米当局が悪用確認…更新しても直らない盲点とは？

　米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は10月29日（米国時間）、ギットラボの開発基盤ソフトウエア「GitLab」のコミュニティー版（CE）とエンタープライズ版（EE）に存在する脆弱性「CVE-2026-97229」を、悪用が確認された脆弱性のカタログ「KEV」に追加したと発表した。

　CVE-2026-97229は、CI/CD（継続的インテグレーション／継続的デリバリー）の設定にある正規表現の処理で起きる整数オーバーフローが原因だ。深刻度は最大のCVSS 10.0で、細工した正規表現により、認証を受けていない第三者がサーバ上でコードを実行できる可能性がある。ギットラボは10月12日に、パッチリリースとして「19.4.2」「19.3.5」「19.2.8」を公開した。

　実際の攻撃を明らかにしたのは、Linuxディストリビューション「Alpine Linux」を開発するアルパイン・リナックスだ。同プロジェクトは10月28日、自社のGitLabが攻撃を受けたと公表した。10月20日に新規登録されたアカウントが探りを入れ始め、21日には細工したCI設定による攻撃でワーカーが8回クラッシュした。うち4回は攻撃が途中まで進んで失敗したという。当時の環境は修正前の「19.3.4」だった。コード実行の証拠は見つかっていないが、否定もできないとしている。

　同プロジェクトは10月22日に「19.3.6」へ更新したが、脆弱性は直らなかった。修正の本体は、ギットラボが自社のパッケージとコンテナイメージに適用する同梱のRubyへのパッチで、標準のRubyを使う同社のイメージには効かなかったためだ。上流のRubyの修正版は、10月23日公開の「3.3.13」「3.4.12」「4.0.9」以降となる。

　同社は10月27日にGitLabを閉鎖して作り直し、28日に完了した。全ユーザーのパスワードをリセットし、秘密鍵も交換した。パッケージや10月21日公開のAlpine Linux 3.21.9など4つのリリースに改ざんは確認されておらず、署名鍵はGitLabのサーバに置いていないという。

　ギットラボはこの脆弱性とは別に、10月21日（米国時間）にも、識別番号「CVE-2026-110264」のCVSS 10.0の脆弱性を修正している。既報を参照されたい。