ギットラボ、CVSS10.0の脆弱性を修正　認証不要でコード実行の恐れ、回避策の記載なし

　ギットラボは10月21日（米国時間）、開発基盤ソフトウエア「GitLab」のコミュニティー版（CE）とエンタープライズ版（EE）に存在した、深刻度が最大のCVSS 10.0とされる脆弱性を修正するパッチリリース「19.5.1」などを公開した。自社で運用する自己管理型の環境については、いずれかの修正版へただちに更新するよう強く推奨している。

　脆弱性の識別番号は「CVE-2026-110264」で、正規表現をコンパイルする処理の整数オーバーフローに起因する。細工された正規表現により、認証を受けていない第三者がGitLabサーバ上で任意のコードを実行できる可能性があるという。CVSS 3.1の評価は10.0で、攻撃元区分はネットワーク、攻撃条件の複雑さは低、必要な権限と利用者の関与はいずれも不要とされる。

　影響範囲はバージョン7.0以降と広い。18.11は18.11.13より前、19.0は19.0.10より前、19.1は19.1.9より前、19.2は19.2.9より前、19.3は19.3.6より前、19.4は19.4.3より前、19.5は19.5.1より前が該当する。修正版はこの7つで、このうち19.2.9、19.1.9、19.0.10、18.11.13の4つは、標準のパッチリリースに加えて旧系列へ修正を移植（バックポート）したものだ。

　公式ページに回避策の記載はない。GitLab.comはすでに修正版で稼働しており、GitLab Dedicatedは19.3.5-internal0または19.4.2-internal0以降を実行しているテナントであれば対応済みで、利用者の作業は不要としている。

　同社は、自己管理型の利用者が悪用の試みを検知できるよう、脅威検知ルール2件も公開した。報告者は研究者のjoaxcarで、同社のバグ報奨金プログラムを通じて寄せられたという。

　今回のリリースでは、この脆弱性のほかに、深刻度が「高」の2件、「中」の5件、「低」の4件の計11件も修正した。「高」は、OmniAuthとLDAPの自動連携における認証の不備（CVSS 8.2）と、OAuth／OIDCの探索用エンドポイントのキャッシュポイズニング（同7.5）である。