GitLabプラットフォームは、数千の企業がソースコードを保管するために利用していますが、重大な脆弱性が存在します。GraphQLシステムの欠陥により、認証情報を必要とせず、攻撃者が公開プロジェクト全体を削除できる可能性があります。これは、銀行のウェブサイトやオンラインストアなど、市民が日常的に利用するサービスやアプリケーションが、開発者が緊急にセキュリティパッチを適用しない場合、突然消えてしまう可能性があることを意味します。
ドアを開け放つGraphQLの穴 🚪
この欠陥は、GitLabのGraphQLクエリ層、特にミューテーションの管理に存在します。巧妙に細工されたリクエストは認証を回避し、公開リポジトリに対して削除コマンドを実行できます。同社はすでに、Community版とEnterprise版を含むすべてのエディション向けの修正版をリリースしています。推奨事項は明確です。直ちに利用可能な最新バージョンに更新してください。更新しない場合、プラットフォームに登録すら必要としない簡単な攻撃によって、長年の作業が危険にさらされます。
あなたのコード、あなたの努力、そして瞬時の削除 🗑️
企業のソースコードほど貴重なものを削除するには、少なくともパスワード、アクセスカード、またはろうそくを使った儀式が必要だと思うでしょう。しかし、GitLabでは、適切に形成されたリクエストと少しの悪意があれば十分です。それは、見知らぬ人があなたの家に侵入し、呼び鈴を鳴らすことさえせずに、すべてのハードドライブをゴミ箱に捨てるようなものです。更新するか、アップデートボタンを押さなかったせいで主力プロジェクトが消えてしまったことを上司に説明する準備をしてください。