גיטלאב מזהירה מפני פרצה בדרגת חומרה מקסימלית בהרצת קוד

פרצה קריטית במהדר הביטויים הרגולריים של CI/CD

גיטלאב קראה ביום שני למשתמשיה לתקן באופן מיידי פרצה בדרגת חומרה מקסימלית במהדר הביטויים הרגולריים של CI/CD, המאפשרת לתוקפים מרחוק להריץ קוד שרירותי על מופעי יעד. הפרצה קיבלה את המזהה CVE-2026-97229; היא התגלתה על ידי חוקר אבטחה בשם הבדוי joaxcar ודווחה באמצעות תוכנית תגמול הבאגים של GitLab ב-HackerOne.

לפי דו״ח האבטחה של GitLab, הבעיה נגרמת מחולשת גלישת מספר שלם ברכיב שמנתח, מהדר ומעבד ביטויים רגולריים בקבצי התצורה של הצינור. בתנאים מסוימים, משתמש לא מאושר יכול להריץ קוד שרירותי על שרת GitLab באמצעות ביטוי רגולרי שעבר עיבוד מיוחד בתצורת CI/CD, עקב אימות לא מספיק של ביטויים רגולריים.

תיקונים וגרסאות מושפעות

GitLab תיקנה את הבעיה בגרסאות Community Edition (CE) ו-Enterprise Edition (EE) עד 19.2.8 של 19.2, 19.3.4 של 19.3 ו-19.4.2 של 19.4. החברה הכריזה כי גרסאות אלה כוללות תיקוני באגים ותיקוני אבטחה חשובים וממליצה בחריפות לעדכן באופן מיידי את כל ההתקנות המנוהלות עצמאית של GitLab לאחת מגרסאות אלה.

GitLab.com כבר פועל על גרסה מתוקנת, בעוד שמשתמשי GitLab Dedicated אינם זקוקים לבצע שום פעולה.

בעיות אבטחה אחרונות ב-GitLab

CVE-2026-97229 היא העדכנית ביותר בסדרת פרצות ש-GitLab תיקנה בחודשים האחרונים. בינואר החברה תיקנה עקיפת דף אימות דו-שלבי בדרגת חומרה גבוהה (CVE-2026-0723), המאפשרת לתוקפים שמכירים את מזהה החשבון של המטרה לעקוף אימות דו-שלבי בשרתי Community ו-Enterprise Edition.

בחודש שעבר GitLab תיקנה פרצה נוספת בדרגת חומרה מקסימלית (CVE-2026-85706) ב-CE/EE, המאפשרת לתוקפים לא מאושרים לקרוא נתונים רגישים משרתים פגיעים, כגון נתוני אימות וסודות אחרים. יום אחרי כך, סוכנות האבטחה הסייבר והתשתיות של ארה״ב (CISA) הוסיפה את CVE-2026-85706 לקטלוג הפרצות שנוצלו בהתקפות ודרשה מסוכנות פדרליות לאבטח את מערכתיהן תוך שלושה ימים.

CISA מתארת חמש פרצות ב-GitLab שנוצלו בהתקפות מנובמבר 2021, כולל אחת ששימשה קבוצות תוכנות כופר ריצומה. לפי GitLab, פלטפורמת ה-DevSecOps שלה משמשת יותר מ-30 מיליון משתמשים רשומים ויותר מ-50% מחברות Fortune 100, כולל Nvidia, T Mobile, Lockheed Martin, Airbus ו-Goldman Sachs.

מקורות: Lobsters