GitLab kod icrası maksimum dərəcəli zəifliyə xəbərdarlıq edir

CI/CD regex kompilyatorunda kritik xəta

GitLab bazar ertəsi günü istifadəçilərə CI/CD davamlı inteqrasiya və çatdırılma regex kompilyatorundakı maksimum dərəcəli zəifliyi dərhal aradan qaldırmağı təklif etdi. Bu zəiflik məsafədən hücumçulara hədəf serverlərdə ixtiyari kod işə salmağa imkan verir. Zəifliyə CVE-2026-97229 identifikatoru verilib; onu təhlükəsizlik araşdırmacısı joaxcar ləqəblə GitLab-in HackerOne xəbərləri proqramı vasitəsilə bildirmişdir.

GitLab-in təhlükəsizlik bülleteninin problemi təhlükəsizlik konfiqurasiya fayllarında regex ifadələrini təhlil edən, kompilyasiya edən və emal edən komponentdə tam ədədin daşmasına (integer overflow) səbəbdır. Bəzi hallarda, icazəsiz istifadəçi xüsusi yaradılmış regex ifadəsi ilə CI/CD konfiqurasiyasında GitLab serverində ixtiyari kod işə sala bilər, regex ifadələrinin kifayət qədər təsdiqlənməməsindən istifadə edərək.

Patçlar və zərər görən versiyalar

GitLab problemi Community Edition (CE) və Enterprise Edition (EE) versiyalarında 19.2.8-ə qədər olan 19.2, 19.3.4-ə qədər olan 19.3 və 19.4.2-ə qədər olan 19.4 versiyalarında aradan qaldırdı. Şirkət bildirir ki, bu versiyalar əhəmiyyətli xətaları və təhlükəsizlik düzəlişlərini ehtiva edir və bütün özünə verilmiş GitLab quraşdırmalarının dərhal bu versiyaların birinə yeniləməsini kateqoriya olaraq tövsiyyə edir.

GitLab.com artıq düzəldilmiş versiyada işləyir, GitLab Dedicated istifadəçilərinə isə heç bir hərəkət görmək lazım deyil.

GitLab-in son vaxtlardakı təhlükəsizlik problemləri

CVE-2026-97229 son aylarda GitLab tərəfindən aradan qaldırılmış zəifliklərin seriyasında ən yenidir. Yanvar ayında şirkət yüksək dərəcəli iki faktorlu autentifikasiya səhifəsinin hücumunu (CVE-2026-0723) düzəltdi, bu zəiflik hücumçulara hədəf hesabın ID-sini bilənlərə Community və Enterprise Edition serverlərində iki faktorlu autentifikasiyanı aşmağa imkan verir.

Keçən ay GitLab CE/EE-də maksimum dərəcəli başqa bir zəifliyi (CVE-2026-85706) düzəltdi, bu zəiflik icazəsiz hücumçulara zəif serverlərdə autentifikasiya məlumatları və digər məxfi məlumatlar kimi həssas məlumatları oxumağa imkan verir. Bir gün sonra ABŞ Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA) CVE-2026-85706-nı real hücumlardakı zəifliklərin kataloğuna əlavə etdi və federal agentliklərə öz sistemlərinin müdafiəsini üç gün ərzində təmin etməyi tapşırdı.

CISA 2021-ci il noyabrından başlayaraq hücumlardakı GitLab-in beş zəifliyini qeyd etmişdir, onların daxilində zərərli proqram qruplarının istifadə etdiği bir dəfə olmuşdur. GitLab-ın dediyinə görə, onun DevSecOps platformasından 30 milyondan çox qeydiyyatdan keçmiş istifadəçi və Fortune 100 şirkətlərinin 50%-dən çoxu istifadə edir, daxil olmaqla Nvidia, T Mobile, Lockheed Martin, Airbus və Goldman Sachs.

Mənbələr: Lobsters