CVE-2026-97229: GitLab Community Edition および Enterprise Edition 整数オーバーフロー/ラップアラウンド脆弱性

Help Net Security によると、CVE-2026-97229 は GitLab の CI/CD 正規表現コンパイラの整数オーバーフロー脆弱性であり、GitLab Community Edition (CE) と Enterprise Edition (EE) の両方に影響する[2]。同媒体によるとGitLab は本脆弱性に最高スコアの CVSS 10.0 を割り当てている。[2]Rapid7 によると、同社は未パッチの公式 GitLab CE イメージ上で任意コード実行を独立して再現した[3]。同社のテストによると、攻撃者はまず悪意のある CI/CD 設定ファイルをコミットできる必要がある[3]公開プロジェクトへ。SecurityOnline が報じたところによるとCensys は、現在 25,766 のインターネット接続ホストと 79,224 のウェブプロパティが脆弱なバージョンを実行していると推定している。[4]Alpine Linux によると10 月 20 日および 21 日に、新規登録されたアカウントが細工された CI 設定を[5]送信した同社の未パッチの GitLab インスタンスに、GitLab ワーカープロセスが 8 回クラッシュした。[5]同プロジェクトはGitLab インスタンスをスクラッチから再構築した[5]コード実行の可能性を排除できなかったため。また同プロジェクトは署名キーは公開されなかったと述べている。[5]Alpine はまた、GitLab の更新だけでは本脆弱性が修正されない可能性があると警告している。「修正は GitLab 自体のコードではなく Ruby へのパッチにあり、GitLab は公式パッケージでのみ適用している。」[5]HOL によると、GitLab の Linux パッケージおよび公式イメージは 19.4.2、19.3.5 および 19.2.8 から修正される[1]。カスタムビルドはまた Ruby 3.3.13、3.4.12 または 4.0.9 が必要。[1]HOL によると CISA は米国連邦機関向けのデューデートを 2026 年 11 月 1 日に設定し、フォレンジック分類が必要とされている。[1]