GitLab-ը շտկել է CVSS 10.0 խոցելիությունը, որը թույլ էր տալիս առանց նույնականացման հեռակա կոդ կատարել

Խոցելիության մանրամասները

CVE-2026-110264 ծածկագրով կրիտիկական խոցելիությանը շնորհվել է CVSS առավելագույն գնահատականը՝ 10.0։ GitLab-ը նշում է, որ որոշակի պայմաններում առանց նույնականացման օգտվողը կարող է սերվերում կամայական կոդ կատարել։ Խնդիրն առաջանում է ամբողջ թվի հորդացումից, որը տեղի է ունենում հատուկ կերպով կազմված կանոնավոր արտահայտության կոմպիլյացիայի ժամանակ։ Սա GitLab-ի կանոնավոր արտահայտությունների շարժիչում կոդի կատարման չորրորդ խոցելիությունն է, որը մեկ ամսվա ընթացքում հայտնել է joaxcar կեղծանունով հետազոտողը։ Առաջին երեք խոցելիությունները դադարել են 19.2 տարբերակում, այս մեկը՝ ոչ։

Տուժած տարբերակները և ուղղումը

Խոցելիությունն ազդում է GitLab-ի բոլոր տարբերակների վրա՝ սկսած 2014 թվականին թողարկված 7.0-ից, ինչը նշանակում է, որ տասներկու տարվա թողարկումներով ինքնակառավարվող տեղադրումները պոտենցիալ խոցելի են։ GitLab-ը հոկտեմբերի 21-ին ուղղումներ է թողարկել յոթ ճյուղերի համար։ Ընկերությունը ուղղումը տարածել է նաև 18.11.13, 19.0.10, 19.1.9 և 19.2.9 տարբերակների վրա՝ իր ստանդարտ թողարկումներից դուրս, ինչը քայլ է, որը վերապահված է լուրջ խնդիրներին։ Սովորաբար GitLab-ի քաղաքականությունը ընդգրկում է ընթացիկ և նախորդ երկու ամսական թողարկումները՝ ներկայումս 19.5, 19.4 և 19.3։ Յուրաքանչյուր ճյուղի ուղղված տարբերակներն են՝ 19.5.1-ը՝ 19.5-ի համար, 19.4.3-ը՝ 19.4-ի, 19.3.6-ը՝ 19.3-ի, 19.2.9-ը՝ 19.2-ի, 19.1.9-ը՝ 19.1-ի, 19.0.10-ը՝ 19.0-ի և 18.11.13-ը՝ 7.0-ից 18.11 շարքի համար։ GitLab.com-ն արդեն աշխատում է ուղղված տարբերակով, իսկ GitLab Dedicated-ի վարձակալները, որոնք գտնվում են 19.3.5-internal0 և 19.4.2-internal0 ներքին թողարկումների կամ ավելի նորերի վրա, արդեն ունեն ուղղումը։

Թարմացում և պաշտպանություն

Ուղղումը կարևոր է նաև նրանց համար, ովքեր թարմացրել են ինը օր առաջ։ Հոկտեմբերի 12-ի թարմացումը ուղղել է CVE-2026-97229-ը՝ նույնպես առանց նույնականացման 10.0 գնահատականի կանոնավոր արտահայտությունների կոմպիլյատորի հորդացումը, 19.2.8, 19.3.5 և 19.4.2 տարբերակներում։ Նոր ուղղված տարբերակները մեկ կարկատանով բարձր են, ուստի այն ժամանակ թարմացված տեղադրումը կրկին հայտնվում է խոցելի միջակայքում։ GitLab-ը հայտնում է, որ խոցելիության օգտագործման ոչ մի նշան չկա, և հոկտեմբերի 22-ի դրությամբ այն չկա CISA-ի հայտնի շահագործված խոցելիությունների կատալոգում։ Հոկտեմբերի 21-ի թարմացումը նաև ուղղում է ընդհանուր առմամբ տասնմեկ անվտանգության խնդիր՝ մեկը կրիտիկական, մնացածը՝ բարձր, միջին կամ ցածր։ Երկու այլ խոցելիություններ վերաբերում են նույնականացմանը։ CVE-2026-15723-ը՝ 8.2 գնահատականով (բարձր), կարող է թույլ տալ մուտք գործած օգտվողին զավթել մեկ այլ հաշիվ, երբ միաժամանակ միացված են SAML-ի և LDAP-ի ավտոմատ կապումը, իսկ CVE-2026-112212-ը՝ 7.5 գնահատականով (բարձր), քեշի թունավորման խոցելիություն է OAuth-ի և OpenID Connect-ի վերջնակետերում՝ ընդհանուր քեշ օգտագործող կարգավորումներում։ GitLab-ը չի հրապարակել այն նախապայմանները, որոնք անհրաժեշտ են կոմպիլյատորի հորդացումը հրահրելու համար, ուստի ադմինիստրատորները դեռ չեն կարող բացառել իրենց դեպքը կարգավորումների միջոցով։ Ծանուցումը ժամանակավոր շրջանցող լուծում չի առաջարկում, և ուղղումը միակ վստահելի պաշտպանությունն է։ GitLab-ը նաև հրապարակել է Sigma ձևաչափի երկու հայտնաբերման կանոն՝ «Onigmo native worker crash» և «Org mode render error burst» անուններով, որպեսզի օգնի ադմինիստրատորներին փնտրել շահագործման փորձեր։ Մեկ հանգույցով սերվերներում 19.4.3 կամ 19.3.6 տարբերակի թարմացումը ներառում է տվյալների բազայի փոփոխություններ, որոնք ավարտվելու ընթացքում պարապուրդ են առաջացնում, իսկ բազմահանգույց կարգավորումները կարող են կիրառել ուղղումը GitLab-ի՝ առանց պարապուրդի ընթացակարգով։

Նախորդ նյութը: GitLab-ը զգուշացնում է առավելագույն ծանրության կոդի կատարման խոցելիության մասին

Աղբյուրները: The Hacker News