GitLab Community and Enterprise Editions のSSRFの脆弱性（CVE-2021-39935）

何が起きた

GitLab の Community Edition と Enterprise Edition で、CI Lint API（CI の設定ファイルを確かめる機能）を使って、許可されていない外部の利用者が SSRF を行える弱点が見つかりました。SSRF では、攻撃者がサーバーに、本来は外から届かない場所へ通信させることができます。NVD の評価では、ログイン不要の攻撃者が離れた場所から、被害者の操作なしに悪用できます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

GitLab CE/EE を自分で動かしている組織のうち、10.5 以上 14.3.6 未満、14.4 以上 14.4.4 未満、14.5 以上 14.5.2 未満の版を使っているところが対象です。

何をすればいい

GitLab を、14.5 系なら 14.5.2 以降、14.4 系なら 14.4.4 以降、それより古い版なら 14.3.6 以降に更新してください。それより古い版のまま動いているサーバーがないかも確かめてください。更新の手順は公式の案内を確認してください。

やることチェックリスト

• GitLab の版を確認する
• 14.5 系は 14.5.2、14.4 系は 14.4.4 以降にする
• 14.3 以前の版は 14.3.6 以降に更新する

用語メモ

SSRF

サーバーをだまして、攻撃者の代わりに別の場所へ通信させる攻撃です。内部のネットワークをのぞかれるおそれがあります。

API

プログラムどうしがやり取りするための決まった窓口です。

CI

プログラムを変更するたびに、自動でテストや組み立てを行う仕組みです。