GitLab CE/EE の脆弱性（CVE-2023-7028）

何が起きた

GitLab の Community Edition と Enterprise Edition に、パスワードの再設定メールを、本人確認されていない別のメールアドレスへ送らせることができる弱点が見つかり、実際に悪用が確認されています。攻撃者は届いたメールを使ってパスワードを変え、アカウントを乗っ取れるおそれがあります。攻撃はネットワーク経由で、ログインも利用者の操作も必要ありません。GitLab によると、2要素認証を有効にしている利用者は、パスワードは再設定されてもアカウントは乗っ取られません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

自分で運用している GitLab CE/EE（セルフマネージド）のうち、16.1 から 16.1.5、16.2 から 16.2.8、16.3 から 16.3.6、16.4 から 16.4.4、16.5 から 16.5.5、16.6 から 16.6.3、16.7 から 16.7.1 が対象です。GitLab によると、この弱点は 16.1.0 で入り込みました。

何をすればいい

16.7.2、16.6.4、16.5.6、16.4.5、16.3.7、16.2.9、16.1.6 のいずれか以降に更新してください。GitLab は、アップグレードストップを飛ばさずに決められた順番で更新することと、すべてのアカウント、特に管理者アカウントで2要素認証を有効にすることを勧めています。侵入が疑われるときは、パスワードや API トークン、証明書など GitLab に保存した秘密情報をすべて変更するよう案内しています。メーカー（GitLab）の公式の案内も確認してください。

やることチェックリスト

• 16.7.2 など修正版以降に更新する
• 全アカウントで2要素認証を有効にする
• 侵入が疑われればパスワードやトークンを変える

用語メモ

2要素認証

パスワードに加えて、スマートフォンのアプリなど別の手段でも本人確認をするログインの仕組みです。

セルフマネージド

サービス会社のクラウドではなく、自分たちのサーバーに GitLab を入れて運用する形のことです。

アップグレードストップ

GitLab を更新するとき、途中で必ず経由しなければならないバージョンのことです。

API トークン

プログラムからサービスを使うときに、パスワードの代わりに使う合言葉のような文字列です。