CVE-2026-1184: Insecure Deserialization in GitLab
プラットフォーム
gitlab
コンポーネント
gitlab
修正版
18.11.3
CVE-2026-1184は、GitLab EEにおける不安全なデシリアライゼーション脆弱性です。この脆弱性により、認証されていないユーザーは、特別に細工されたファイルをアップロードすることで、GitLabインスタンスをダウンさせたり、リソースを枯渇させたりする可能性があります。影響を受けるバージョンはGitLab 11.9.0から18.11.3までの範囲です。この問題はGitLab 18.11.3で修正されました。
影響と攻撃シナリオ
攻撃者は、この脆弱性を悪用して、GitLabインスタンスを長時間利用不能にしたり、重要なサービスを中断させたりする可能性があります。これにより、ビジネスの中断、データ損失、評判の低下につながる可能性があります。攻撃者は、悪意のあるデシリアライゼーションペイロードをアップロードすることで、GitLabインスタンスを過負荷状態にすることができます。この脆弱性は、特に重要なアプリケーションやサービスをホストしているGitLabインスタンスにとって、重大なリスクとなります。
悪用の状況
この脆弱性は、現時点では公開されているエクスプロイトコードが存在します。攻撃者による悪用が懸念されます。NVDおよびCISAの公開日は2026年5月14日です。この脆弱性は、他の不安全なデシリアライゼーション脆弱性と類似した攻撃パターンを示す可能性があります。
脅威インテリジェンス
エクスプロイト状況
CISA SSVC
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- 低 — 有効なユーザーアカウントがあれば十分。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- なし — 機密性への影響なし。
- Integrity
- なし — 完全性への影響なし。
- Availability
- 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
緩和策と回避策
この脆弱性への主な対策は、GitLabをバージョン18.11.3以降にアップグレードすることです。アップグレードがシステムに影響を与える場合は、一時的に以前の安定バージョンにロールバックすることを検討してください。ファイルアップロードの検証を強化し、信頼できないソースからのファイルをブロックすることで、攻撃のリスクを軽減できます。また、デシリアライゼーションを必要としない場合は、機能を無効にすることを検討してください。アップグレード後、ファイルアップロードのログを監視し、異常なアクティビティがないか確認してください。
修正方法翻訳中…
Actualice GitLab a la versión 18.9.7 o superior, 18.10.6 o superior, o 18.11.3 o superior para mitigar la vulnerabilidad de deserialización de datos no confiables. Esta actualización aborda la validación incorrecta de archivos cargados, previniendo posibles ataques de denegación de servicio.
よくある質問
CVE-2026-1184 — Insecure Deserialization in GitLabとは何ですか？
CVE-2026-1184は、GitLab EEにおいて、認証されていないユーザーがDoS攻撃を引き起こすことができる不安全なデシリアライゼーション脆弱性です。
CVE-2026-1184 in GitLabで影響を受けていますか？
GitLab EEのバージョンが11.9.0–18.11.3の範囲にある場合は、影響を受けている可能性があります。バージョン18.11.3以降にアップグレードしてください。
CVE-2026-1184 in GitLabを修正するにはどうすればよいですか？
GitLabをバージョン18.11.3以降にアップグレードしてください。ファイルアップロードの検証を強化することも有効です。
CVE-2026-1184は積極的に悪用されていますか？
現時点では公開されているエクスプロイトコードが存在するため、悪用される可能性があります。
CVE-2026-1184に関するGitLabの公式アドバイザリはどこで入手できますか？
GitLabのセキュリティアドバイザリページで確認できます: [https://gitlab.com/security/security-advisories](https://gitlab.com/security/security-advisories)
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...