GitLab מתקן פגיעות CVSS 10.0 המאפשרת ביצוע קוד מרוחק ללא אימות

פרטי הפגיעות

פגיעות קריטית שזוהתה כ‑CVE-2026-110264 קיבלה את הציון המרבי של CVSS 10.0. GitLab מציינת שתחת תנאים מסוימים משתמש לא מאומת יכול להריץ קוד שרירותי בשרת. הבעיה נובעת מגלישת מספר שלם המתרחשת במהלך הידור של ביטוי רגולרי שנוצר במיוחד. זהו הפגם הרביעי של ביצוע קוד במנוע הביטויים הרגולריים של GitLab שדווח על ידי החוקר joaxcar בתוך חודש. שלושת הפגמים הראשונים נעצרו בגרסה 19.2; פגם זה לא.

גרסאות מושפעות ותיקון

הפגם משפיע על כל גרסה של GitLab החל מ‑7.0 שיצאה ב‑2014, מה שהופך התקנות בניהול עצמי לאורך שתים עשרה שנות גרסאות לפגיעות פוטנציאלית. GitLab שחררה תיקונים ב‑21 באוקטובר עבור שבעה ענפי גרסאות. החברה העבירה את התיקון גם ל‑18.11.13, 19.0.10, 19.1.9 ו‑19.2.9, מעבר ללוח הזמנים הרגיל שלה, צעד השמור לבעיות חמורות. בדרך כלל מדיניות GitLab מכסה את הגרסה הנוכחית ואת שתי הגרסאות החודשיות הקודמות, כרגע 19.5, 19.4 ו‑19.3. הגרסאות המתוקנות לכל ענף הן 19.5.1 עבור 19.5, 19.4.3 עבור 19.4, 19.3.6 עבור 19.3, 19.2.9 עבור 19.2, 19.1.9 עבור 19.1, 19.0.10 עבור 19.0 ו‑18.11.13 עבור הסדרה 7.0 עד 18.11. GitLab.com כבר מריצה את הגרסה המתוקנת, ודיירים של GitLab Dedicated בגרסאות פנימיות 19.3.5-internal0 ו‑19.4.2-internal0 ואילך כבר מכילים את התיקון.

שדרוג והפחתת סיכון

התיקון חשוב גם למנהלים שעדכנו תשעה ימים קודם לכן: העדכון מ‑12 באוקטובר תיקן את CVE-2026-97229, גם היא גלישת 10.0 ללא אימות במהדר הביטויים הרגולריים, בגרסאות 19.2.8, 19.3.5 ו‑19.4.2. הגרסאות המתוקנות החדשות גבוהות בגרסה אחת, ולכן התקנה שעודכנה אז נמצאת שוב בטווח הפגיע. GitLab מדווחת שאין סימן לכך שהפגם נוצל בתקיפות, והוא אינו מופיע בקטלוג CISA של פגיעויות מנוצלות ידועות נכון ל‑22 באוקטובר. העדכון של ה‑21 באוקטובר מטפל בסך הכול ב‑11 בעיות אבטחה, אחת קריטית והשאר ברמה גבוהה, בינונית או נמוכה. שני פגמים נוספים קשורים לאימות: CVE-2026-15723 בדירוג גבוה של 8.2 עלול לאפשר למשתמש מחובר להשתלט על חשבון אחר כאשר גם קישור אוטומטי של SAML וגם של LDAP מופעלים, ו‑CVE-2026-112212 בדירוג גבוה של 7.5 הוא פגם של הרעלת מטמון בנקודות קצה של OAuth ו‑OpenID Connect בהגדרות שמשתמשות במטמון משותף. GitLab לא חשפה את התנאים המקדימים הנדרשים להפעלת גלישת המהדר, כך שמנהלים עדיין אינם יכולים לשלול את חשיפתם באמצעות תצורה. ההודעה אינה מציעה פתרון זמני, והתיקון הוא ההגנה הוודאית היחידה. GitLab פרסמה גם שני כללי זיהוי בפורמט Sigma בשם Onigmo native worker crash ו‑Org mode render error burst כדי לעזור למנהלים לאתר ניסיונות ניצול. בשרתים בעלי צומת יחיד השדרוג ל‑19.4.3 או 19.3.6 כרוך בשינויים במסד הנתונים הגורמים להשבתה עד לסיומם, בעוד התקנות מרובות צמתים יכולות להחיל את התיקון באמצעות הליך אפס השבתה של GitLab.

סיקור קודם: GitLab מתריעה על פגיעות ביצוע קוד בחומרה מרבית

מקורות: The Hacker News