脆弱性悪用確認・修正版あり続報

GitLabに最大深刻度の欠陥、悪用を確認　認証なしでサーバーを不正操作されるおそれ

独自のRubyを組み合わせた環境では、GitLab本体の更新だけでは不十分。Alpine Linuxの攻撃調査で注意点が明らかになった。

対象となる人

GitLab CE/EEを自社運用する管理者。独自Rubyや独自コンテナを使う環境では、GitLabを更新済みでも追加確認が必要です。1 4

公式の案内

GitLabを最新修正版へ更新。独自Rubyの場合は開発元の推奨版3.3.13／3.4.12／4.0.9以降も確認し、コンテナ内の実際の版を点検してください。1 3 4

最大深刻度の欠陥
CVE-2026-97229はCVSS 3.1で10.0。特定条件下で、認証なしにサーバー上のコードを実行されるおそれ。1
攻撃に使われている
CISAが実際の悪用の証拠に基づき、10月29日にKEV一覧へ追加した。2
独自Rubyは追加の更新が必要
AlpineはGitLab本体を更新しても欠陥が残ったと報告。公式パッケージ以外では、組み合わせたRubyの修正も確認が必要です。4 3

修正版の読み方: GitLab公式配布版の修正境界は19.2.8／19.3.5／19.4.2。独自Ruby環境ではこの番号だけで判断せず、Ruby開発元の推奨版3.3.13／3.4.12／4.0.9以降への更新も確認してください。1 3 4
原因: CI/CD設定で使う正規表現の検証不足により発生する整数オーバーフローの問題です。1
サービス型は修正済み: GitLabはGitLab.comとGitLab Dedicatedを修正済みと説明。自社運用向けに攻撃試行の検知情報も公開しています。1
Alpineの調査結果: 攻撃成功の証拠は見つかっていませんが、否定できず環境を再構築。確認済みのパッケージや10月21日リリースの改ざんは見つからず、調査範囲を拡大しています。4
AlpineのGitLab利用者は: gitlab.alpinelinux.orgの再開案内では、パスワード・2要素認証・トークン等の再設定を求めています。この案内は同サービスの利用者向けです。5

10月31日補足・訂正：独自Ruby環境ではGitLab本体の更新だけでは不十分な点を追記しました。Ruby 4.0.9は関連4件を含む推奨版で、本CVE単体の4.0系修正境界は4.0.8です。CVSSは全環境での被害発生を意味しません。