CISA、GitLabの正規表現の欠陥を悪用一覧に追加…稼働版と侵入痕跡を点検

正規表現は、文字列がある形に合うかを調べる規則です。例えば「ブランチ名がreleaseで始まるか」で自動テストを選ぶ使い方が考えられます。これは正常な用途を示す架空の例で、攻撃用の規則ではありません。

GitLab内部のRubyプログラムは、利用者が与えた規則を実行用の形へ変えるコンパイルを行います。Ruby開発チームは、この段階で細工した規則が内部メモリを壊し、GitLabサーバーの遠隔コード実行に使えると説明しました。検索が遅くなるだけでなく、サーバープログラムの処理の進み方に影響する問題です。Ruby開発元の説明

整数のオーバーフローは、サイズが計算欄の上限を超えて値が崩れる問題です。3桁の欄で1000のうち000だけ残る例にたとえられますが、仕組みを示す架空の計算で、Rubyの実際の桁数や攻撃入力ではありません。必要なサイズを誤って扱うとメモリの境界を越え得るため、今回はそこからサーバー上の実行へつながる問題です。

%% 規則の入力からサーバー実行の危険へ · GitLab・Ruby公式説明の範囲
flowchart TD
  A["外部から細工した規則"] --> B["影響するRubyがコンパイル<br/>内部メモリが壊れる"]
  B --> C["条件がそろうとコード実行<br/>サーバー側の権限で被害"]

任意コード実行は、攻撃者が選ぶ作業をサーバーにさせられるという意味です。そのアカウントで読んだり変えたりできる資料が危険になり得ますが、全サーバーの管理者権限取得や情報流出が示されたわけではありません。

GitLabは配布するRubyに修正を入れました。Rubyプロジェクトは10月23日、関連する4件の修正をすべて含む4.0.9・3.4.12・3.3.13を別に公開しました。ホストに別途入れたRubyだけを変えても、GitLabが実際に使うRubyが変わった根拠にはなりません。

表はこの欠陥の初回修正版で、現在の最新推奨版一覧ではありません。管理者はサポート中の系列と配布方法に合う最新のセキュリティパッチと更新手順を選びます。別のRubyアプリでは外部の人が決めた規則をコンパイルするかを調べられます。Rubyは、開発者が書いた固定の規則だけならこの条件に当たらず、処理時間や入力長の制限だけでは確実に防げないと説明しています。

パッチは今後同じ欠陥を使う経路を直す作業です。それ以前に攻撃者がサーバーで作業したかは、接続・エラー・セキュリティ検知の記録を調べて答えます。GitLabはこのCVEの攻撃試行を見つけるための検知項目も6件公開しています。

CISAはこの項目の対応期限を11月1日と記しています。指令の法的義務は米国の連邦民間行政機関が対象で、全読者共通の猶予期間ではありません。自前運用者は自分の環境の露出と開発元の案内で優先度を決めます。CISA指令の適用範囲