GitLab Community and Enterprise Editions のリモートコード実行の脆弱性（CVE-2021-22205）

何が起きた

GitLab Community Edition と Enterprise Edition に、アップロードされた画像ファイルの確かめ方が不十分な弱点が見つかりました。CISA によると、GitLab Workhorse は画像ファイルを ExifTool に渡しており、ここでの確認が不十分なため、外から命令を実行されるおそれがあります。NVD の評価では、ネットワーク経由で、権限のない攻撃者が利用者の操作なしに悪用できます。CISA は実際の悪用と、ランサムウェアでの悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

GitLab CE/EE を自分で動かしている組織が対象です。CVE の記録と GitLab の公式ブログによると、11.9 以降で 13.8.8 より前、13.9 以降で 13.9.6 より前、13.10 以降で 13.10.3 より前のバージョンが影響を受けます。GitLab によると、GitLab.com の利用者は影響を受けません。

何をすればいい

GitLab が 13.8.8、13.9.6、13.10.3 のいずれか、またはそれ以降のバージョンに更新されているか確認してください。GitLab は、できるだけ早く修正版に更新するよう呼びかけています。すぐに更新できない場合は、GitLab が用意した hotpatch を当ててください。GitLab は、公開された自社運用の GitLab で悪用の報告を確認しており、被害を受けたかどうかを調べる方法もフォーラムで案内しています。

やることチェックリスト

• GitLab の版を管理画面で確かめる
• 13.10.3 など修正版以降に更新する
• 更新できなければ hotpatch を当てる

用語メモ

ExifTool

画像ファイルについている撮影日時などの情報（メタデータ）を読み書きするための道具です。

GitLab Workhorse

GitLab の一部で、ファイルのアップロードなど重い処理を受け持つ部品です。

ランサムウェア

ファイルを使えなくして、元に戻す代わりに身代金を求める悪いプログラムです。