GitLabにおけるパラメータの不適切な処理

CVE-2026-2370 は、GitLab CE/EE の Jira Connect インストールに影響を与えます。対象バージョンは 14.3 から 18.8.7 以前、18.9 から 18.9.3 以前、18.10 から 18.10.1 以前です。この脆弱性は、不適切な認証チェックに起因します。ワークスペースの最小限の権限を持つ認証済みユーザーが Jira Connect インストールの認証情報を取得し、GitLab アプリになりすます可能性があります。これにより、Jira 内の機密データへの不正アクセス、構成の操作、または GitLab の名前で行うアクションの実行が可能になる可能性があります。この脆弱性の重大度は CVSS スケールで 8.1 と評価されており、即時の対応が必要な重要なリスクを示しています。

Organizations heavily reliant on GitLab Jira Connect for integration between their GitLab and Jira systems are at significant risk. This includes teams using shared Jira workspaces or those with overly permissive user roles within Jira Connect. Legacy GitLab installations running older versions (prior to 18.10.1) are particularly vulnerable.

• gitlab: Review GitLab audit logs for suspicious activity related to Jira Connect workspace access and credential retrieval. Look for users with limited permissions attempting to access sensitive configuration data.

gitlab-rails runner 'puts AuditEvent.where(action: 'read_connection').count'

• linux / server: Monitor system logs for unusual processes or connections related to the GitLab Jira Connect service. Use lsof or ss to identify any unexpected network activity.

lsof -i :8080 | grep jira

• generic web: Check GitLab instance configuration files for any signs of unauthorized modifications or suspicious entries related to Jira Connect credentials. • database (postgresql): Query the GitLab database for unusual access patterns or modifications to Jira Connect configuration tables. Use psql to inspect the database.

psql -U postgres -c "SELECT * FROM jira_connect_connections;"

1. 2026-03-29Disclosure

   disclosure

1. 予約済み2026-02-11
2. 公開日2026-03-29
3. 更新日2026-03-30
4. EPSS 更新日2026-04-06

このリスクを軽減するために、GitLab 18.10.1 以降へのアップグレードを強く推奨します。18.8.7 より前のバージョンを使用している場合は、18.8.7 以降にアップグレードしてください。18.9 を使用している場合は、18.9.3 以降にアップグレードしてください。このアップグレードにより、この脆弱性の悪用を可能にする認証エラーが修正されます。アップグレード前に発生した可能性のある疑わしいアクティビティがないか、Jira Connect の監査ログを確認してください。さらに、ワークスペース内のユーザー権限を確認し、最小権限の原則が適用されていることを確認してください。詳細なアップグレード手順については、GitLab の公式ドキュメントを参照してください。