GitLabの脆弱性情報(CVE-2018-16048, CVE-2018-16049, CVE-2018-16050, CVE-2018-16051)とSecurity Release: 11.2.3, 11.1.6, 11.0.6

一次情報源

https://about.gitlab.com/2018/08/28/security-release-gitlab-11-dot-2-dot-2-released/

Priority

Moderate

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16048
  • APIレポジトリストレージへの認証制御の不足
  • 重要度 – Low
  • 11.0.6, 11.1.5, 11.2.2以前のGitLab Community/Enterprise Editionに問題が見つかりました。APIレポジトリストレージへの認証制御が不足していました。
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16049
  • Sidekiqログ中の重要なデータの漏洩
  • 重要度 – Moderate/Medium
  • 11.0.6, 11.1.5, 11.2.2以前のGitLab Community/Enterprise Editionに問題が見つかりました。Sidekiqログ中の重要なデータがエラーメッセージを通じて露出していました。
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16050
  • Merge Request Changes View中のXSS
  • 重要度 – Moderate/Medium
  • 11.0.6, 11.1.5, 11.2.2以前のGitLab Community/Enterprise Editionに問題が見つかりました。Merge Request Changes View厨にXSSの問題が見つかりました。
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16051
  • ファイル露出
  • 重要度 – Moderate/Medium
  • 11.0.6, 11.1.5, 11.2.2以前のGitLab Community/Enterprise Editionに問題が見つかりました。Orphaned Upload ファイルが露出する問題が見つかりました。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian

  https://security-tracker.debian.org/tracker/CVE-2018-16048

  https://security-tracker.debian.org/tracker/CVE-2018-16049

  https://security-tracker.debian.org/tracker/CVE-2018-16050

  https://security-tracker.debian.org/tracker/CVE-2018-16051

• Red Hat Enterprise Linux/CentOS
  
• Ubuntu

  https://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-16048.html

  https://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-16049.html

  https://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-16050.html

  https://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-16051.html

• SUSE/openSUSE
  

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16048

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16049

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16050

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16051

セミナー情報 1

2018年10月22日から10月25日のCSS(Computer Security Symposium)2018で、「OSSセキュリティ技術ワークショップ(OWS) 2018特別セッション」 と題しまして、OSSセキュリティ技術の会後援で特別セッションを開催します。

https://www.iwsec.org/ows/2018/index.htmlにプログラム内容と一般論文申し込みの詳細を載せていきますので、是非御確認下さい(ページは更新中です)。