セルフホスト
このタグの記事 3 件
Nextcloudの組み込みCollabora（CODE）脆弱性 CVE-2026-110447（悪用確認）｜対象の確かめ方と対策
Collabora Onlineの開発元は2026年10月14日、Nextcloud用アプリ「Collabora Online - Built-in CODE Server」（アプリID richdocumentscode）に、認証なしでOSコマンドを実行される脆弱性CVE-2026-110447があると公表した。アプリのproxy.phpを通じて、Webサーバーの実行ユーザーの権限でコマンドが動くおそれがある。条件は、組み込みのCODEサーバーが動いていないとき（コンテナの再起動、更新、異常終了のあとなど）。対象は26.4.303より前で、修正版の26.4.303は9月11日に出ている。開発元はアプリを無効にしても防げないとし、更新か削除を求めている。サポートが終わったNextcloud 29以前は、Nextcloud本体を更新するかアプリを削除する。開発元は、単独で動かすCollabora Onlineサーバー、Dockerイメージ、RPM/DEBパッケージ、Nextcloud All-in-Oneは影響を受けないとしている。CVSS v4.0は9.2。米CISAは10月23日に悪用が確認された脆弱性の一覧（KEV）に加え、対応期限を10月26日とした。開発元のリポジトリには9月10日ごろからの攻撃の報告があり、報道によればWebシェルが置かれた例がある。当サイトの結論：組み込みCODEを入れているなら、無効にしたままでも今日バージョンを確かめ、更新か削除をしてから、9月10日以降の痕跡を確かめる。
GitLab脆弱性 CVE-2026-110264（CVSS 10.0）と悪用が確認されたCVE-2026-97229｜自前運用のGitLabを確かめて更新する手順
GitLabは2026年10月21日、Community Edition（CE）とEnterprise Edition（EE）の緊急パッチリリース19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13を公開した。最も深刻なCVE-2026-110264（CVSS 10.0）は、正規表現をコンパイルするときの整数オーバーフローにより、条件によっては認証していない利用者がGitLabサーバー上で任意のコードを実行できるおそれがあるというもので、7.0以降のほぼすべての版が対象。10月29日には、同種の脆弱性CVE-2026-97229（CVSS 10.0、CWE-190）が米CISAのKEV（悪用が確認された脆弱性の一覧）に登録され、対応期限は11月1日とされた。CI/CD設定の正規表現コンパイラの整数オーバーフローで、認証なしで到達できる点も同じ。GitLabは10月12日に19.4.2、19.3.5、19.2.8で修正済みで、対象は19.2.0から19.2.7、19.3.0から19.3.4、19.4.0から19.4.1だけ。19.4.2、19.3.5、19.2.8より前の版を使っている環境は、悪用が確認された脆弱性にさらされている。この記事が勧める版（19.5.1、19.4.3、19.3.6、19.2.9）に上げれば、CVE-2026-97229も直る。GitLab.comは修正済みで、自前で運用している環境（Self-Managed）は更新が必要。10月21日のリリースではHighの脆弱性2件（CVSS 8.2と7.5）なども修正されたが、こちらの修正は19.3.6以降の3系統だけに入っている。原因はRubyの正規表現エンジン（Onigmo）にあり、Rubyは10月23日に4.0.9、3.4.12、3.3.13を公開した。攻撃者が操作できる文字列から正規表現を作るアプリが対象で、Regexp.timeoutでは防げない。GitLabの告知にCVE-2026-110264が悪用されたという記載はなく、KEVにも入っていない（10月30日時点）。Alpine Linuxは、自社のGitLabが10月20〜21日にCVE-2026-97229を狙った攻撃を受けたこと、GitLabを19.3.6に上げただけでは直らず、修正版のRubyも必要だったことを公表した（インスタンスは作り直し、攻撃者のコードが動いた証拠は見つかっていない）。当サイトの結論：自前のGitLabは必須の経由版を確かめて今日更新し、最終的には19.3.6以降に上げる。GitLabを自分でビルドしたり独自のRubyで動かしたりしている場合は、Rubyも3.3.13、3.4.12、4.0.9以降か確かめる。Rubyのアプリは修正版のRubyに上げ、利用者の入力から正規表現を作らない。
自前のGitサーバーとGitHub、セキュリティ的にどっちが安全か
自前Gitは『安全になる』のではなく『リスクを移し替える』。誤公開という事故クラスは消えるが、サーバのパッチ・バックアップ・コミット前の秘密検出という責任が自分に移る。条件を満たせば良い選択、放置すればGitHubより危険。当サイトの視点＝自前運用は、GitHubが担っていた作業を自分で続けることが前提。