セキュリティに関する公開情報

ここでは、Developer Connect に関連するすべてのセキュリティに関する公開情報について説明します。

最新のセキュリティに関する公開情報を取得するには、次のいずれかを行います。

GCP-2026-048

公開日: 2026-07-13

説明

説明 重大度 メモ

リポジトリ接続を作成または更新すると、Developer Connect は Secret Manager シークレットを使用してサードパーティの Git プロバイダに対して認証を行います。GitLab Enterprise（GLE）接続と Bitbucket データセンター（BBDC）接続の場合、これらの参照シークレットは、以前は Developer Connect サービス エージェント（P4SA）によって取得されていました。つまり、権限チェックは呼び出し元のプリンシパルの認証情報ではなく、P4SA の認証情報に対して行われていました。これにより、権限が制限されているプリンシパルが、リポジトリ接続ホスト URI を攻撃者が管理するエンドポイントに指定することで、参照されている Secret Manager シークレットを読み取ることが可能になりました。

この脆弱性を軽減し、最小権限のセキュリティ原則を遵守するため、Developer Connect は、GitLab Enterprise（GLE）接続と Bitbucket データセンター（BBDC）接続のリポジトリ接続 API を呼び出す際に、呼び出し元のプリンシパルの認証情報（エンドユーザーの認証情報を使用）と P4SA の両方に対して権限チェックを行うようになりました。具体的には、サーバーは、呼び出し元と P4SA の両方が、参照されている Secret Manager シークレットに対する secretmanager.versions.access IAM 権限を持っていることを確認します。

必要な対策

既存のリポジトリ接続に対してご対応いただく必要はありません。GitLab Enterprise（GLE）または Bitbucket データセンター（BBDC）のリポジトリ接続の作成または更新時に権限エラーが発生した場合は、参照されているシークレットに対する Secret Manager シークレット アクセサー（roles/secretmanager.secretAccessor）ロールを、接続を作成または更新するユーザーまたはサービス アカウントに付与します。

このパッチで対処される脆弱性

この脆弱性により、リポジトリ接続管理者権限を持つユーザーは、権限チェックが P4SA の認証情報に対してのみ行われていたため、参照されている Secret Manager シークレットを読み取ることができました。GitLab Enterprise（GLE）接続と Bitbucket データセンター（BBDC）接続で、呼び出し元のプリンシパル（エンドユーザーの認証情報を使用）と P4SA の両方に対して権限チェックを行うようにすることで、シークレットに対する secretmanager.versions.access IAM 権限を持つユーザー（P4SA 自体を含む）のみが、リポジトリ接続で使用できるようになります。

 中