GitLab GitLab のSSRFの脆弱性（CVE-2021-22175）

何が起きた

GitLab に、攻撃者がサーバーを踏み台にして内部ネットワークへ通信させられる弱点（SSRF）が見つかり、実際の悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者でも悪用できます。Webhook から内部ネットワークへの通信を許す設定が有効なときに悪用でき、新規登録を無効にしている GitLab でも影響を受けます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

GitLab の 10.5 以降で、13.6.7 より前、13.7 系の 13.7.7 より前、13.8 系の 13.8.4 より前を使っている組織が対象です。特に、Webhook から内部ネットワークへの通信を許す設定を有効にしている場合に影響を受けます。

何をすればいい

GitLab の公式の案内を確認し、13.6 系以前は 13.6.7 以降、13.7 系は 13.7.7 以降、13.8 系は 13.8.4 以降に更新してください。古い版を使い続けている場合は、より新しい版への更新を検討してください。あわせて、Webhook から内部ネットワークへの通信を許す設定が必要かどうかを見直してください。

やることチェックリスト

• 13.8 系は 13.8.4 以降に更新する
• 13.7 系は 13.7.7、それ以前は 13.6.7 以降にする
• Webhook の内部ネットワーク通信の許可を見直す

用語メモ

SSRF

攻撃者がサーバーをだまして、本来は外から届かない場所へ代わりに通信させる攻撃です。

Webhook

何かが起きたときに、決められた URL へ自動で通知を送る仕組みです。