GitLab-ը նախազգուշացնում է կոդի կատարման առավելագույն ծանրության խոտորության մասին

Ճգնաժամային խոտորություն CI/CD ռեգուլյար արտահայտությունների կոմպիլյատորում

GitLab-ը երկուշաբթի կոչ է անում օգտատերերին անպատճաեհ ուղղել առավելագույն ծանրության խոտորությունը CI/CD ռեգուլյար արտահայտությունների կոմպիլյատորում, որը հեռահար հակառակորներին հնարավորություն է տալիս կատարել կամայական կոդ թիրախային նմուշներում: Խոտորությանը շնորհվել է CVE-2026-97229 նուկեատորը; այն հայտնաբերել է անվտանգության հետազոտիկը joaxcar դեռանունով և հաղորդել GitLab-ի HackerOne բագների որոնման ծրագրի միջոցով:

GitLab-ի անվտանգության տեղեկագրի համաձայն, խնդիրը առաջացել է ամբողջ թվի գերազանցման թուլության պատճառով բաղադրիչում, որը վերլուծում է, կոմպիլյացնում և մշակում ռեգուլյար արտահայտություննըրը նախագծերի ուղենորդի կոնֆիգուրացիոն ֆայլերում: Որոշ պայմաններում ոչ ավտորիզացված օգտատերը կարող է GitLab-ի սերվերում կատարել կամայական կոդ հատուկ կերպով պատրաստված ռեգուլյար արտահայտությամբ CI/CD կոնֆիգուրացիայում, ռեգուլյար արտահայտությունների անբավարար վալիդացիայի հետևանքով:

Փաթչներ և վնասված տարբերակներ

GitLab-ը խնդիրը ուղղել է Community Edition (CE) և Enterprise Edition (EE) տարբերակներում 19.2-ի 19.2.8-ը, 19.3-ի 19.3.4-ը և 19.4-ի 19.4.2-ը: Ընկերությունը հայտարարել է, որ այս տարբերակները պարունակում են կարևոր սխալների և անվտանգության ուղղումներ և կատեգորիապես խորհուրդ է տալիս բոլոր ինքնակառավարվող GitLab-ի տեղադրումներին անպատճաեհ թարմացնել այս տարբերակներից մեկին:

GitLab.com արդեն աշխատում է ուղղված տարբերակի վրա, իսկ GitLab Dedicated-ի օգտատերերին որևէ գործողություն իրականացնելու կարիք չկա:

GitLab-ի վերջին ժամանակների անվտանգության խնդիրները

CVE-2026-97229-ը ամենանոր խոտորությունների շարքում՝ այն, որը GitLab-ը ուղղել է վերջին ամիսներում: Հունվարին ընկերությունը ուղղել է բարձր ծանրության երկգործոնային նուկեատորի ավտորիզացիայի էջի խոտորությունը (CVE-2026-0723), որը հնարավորություն է տալիս հակառակորներին, որոնք գիտեն թիրախի հաշվի ID-ն, շրջանցել երկգործոնային ավտորիզացիան Community և Enterprise Edition սերվերներում:

Անցած ամսվա GitLab-ը ուղղել է ենթ առավելագույն ծանրության խոտորությունը (CVE-2026-85706) CE/EE-ում, որը ոչ ավտորիզացված հակառակորներին հնարավորություն է տալիս կարդալ զգայուն տվյալներ խոտորություններով սերվերներից, ինչպիսիք են ավտորիզացիայի տվյալները և այլ գաղտնիքները: Մեկ օր անց ԱՄՆ-ի կիբերանվտանգության և ենթակառուցվածքի անվտանգության գործակալությունը (CISA)-ն CVE-2026-85706-ը ավելացրել է իրական հակառակորներում օգտագործված խոտորությունների կատալոգում և պարտավորեց դաշնային գործակալությունները երեք օրվա ընթացքում ապահովել իրենց համակարգերի պաշտպանությունը:

CISA-ն 2021 թվականի նոյեմբերից սկսած հայտնաբերել է հակառակորների կողմից օգտագործված GitLab-ի հինգ խոտորություն, դրանց մեջ՝ մեկը, որը օգտագործել են ծածկագրային ծրագրերի խմբերը: GitLab-ի խոսքով, իր DevSecOps հարթակն ունի 30 միլիոնից ավելի գրանցված օգտատեր և օգտագործվում է Fortune 100 ընկերությունների 50%-ից ավելին կողմից, դրանց մեջ՝ Nvidia, T Mobile, Lockheed Martin, Airbus և Goldman Sachs:

Նյութերի աղբյուրները։ Lobsters