GitLab ასწორებს CVSS 10.0 ხარვეზს, რომელიც ავტორიზაციის გარეშე დისტანციური კოდის შესრულების საშუალებას იძლევა

ხარვეზის დეტალები

კრიტიკულ ხარვეზს, რომელიც CVE-2026-110264 იდენტიფიკატორით არის აღრიცხული, მაქსიმალური CVSS შეფასება, 10.0, მიენიჭა. GitLab-ის განცხადებით, გარკვეულ პირობებში ავტორიზაციის გავლის გარეშე მომხმარებელს სერვერზე თვითნებური კოდის გაშვება შეუძლია. პრობლემის სათავე მთელი რიცხვის გადავსებაა, რომელიც სპეციალურად შექმნილი რეგულარული გამოსახულების კომპილაციის დროს ხდება. ეს არის კოდის შესრულების მეოთხე ხარვეზი GitLab-ის რეგულარული გამოსახულებების ძრავაში, რომელიც მკვლევარმა joaxcar-მა ერთი თვის განმავლობაში შეატყობინა. პირველი სამი ხარვეზი 19.2 ვერსიამდე ვრცელდებოდა, ეს კი არა.

დაზარალებული ვერსიები და შესწორება

ხარვეზი ეხება GitLab-ის ყველა ვერსიას 2014 წელს გამოსული 7.0-ის ჩათვლით, რაც ნიშნავს, რომ თორმეტი წლის განმავლობაში გამოშვებული ვერსიების საფუძველზე აწყობილი საკუთარი სერვერების ინსტალაციები პოტენციურად დაუცველია. GitLab-მა 21 ოქტომბერს შესწორებები შვიდი ვერსიის ტოტისთვის გამოუშვა. კომპანიამ შესწორება 18.11.13, 19.0.10, 19.1.9 და 19.2.9 ვერსიებზე თავისი სტანდარტული გამოშვების გრაფიკის მიღმა გადაიტანა, რაც მძიმე ხარვეზებისთვის გამოყოფილი ნაბიჯია. ჩვეულებრივ, GitLab-ის პოლიტიკა მოიცავს მიმდინარე და წინა ორ თვიურ გამოშვებას, ამჟამად 19.5, 19.4 და 19.3. თითოეული ტოტის გამოსწორებული ვერსიებია: 19.5.1 19.5-ისთვის, 19.4.3 19.4-ისთვის, 19.3.6 19.3-ისთვის, 19.2.9 19.2-ისთვის, 19.1.9 19.1-ისთვის, 19.0.10 19.0-ისთვის და 18.11.13 7.0-დან 18.11-მდე სერიისთვის. GitLab.com უკვე გამოსწორებულ ვერსიაზე მუშაობს, ხოლო ორგანიზაციებს, რომლებიც GitLab Dedicated-ს იყენებენ და 19.3.5-internal0 ან 19.4.2-internal0 ან უფრო ახალ შიდა გამოშვებებზე არიან, შესწორება უკვე აქვთ.

განახლება და დაცვის ზომები

შესწორებას მნიშვნელობა აქვს მათთვისაც, ვინც ცხრა დღით ადრე განაახლა: 12 ოქტომბრის განახლებამ ასწორა CVE-2026-97229, ასევე ავტორიზაციის გარეშე შესრულებადი 10.0 ქულის რეგულარული გამოსახულების კომპილატორის გადავსება, 19.2.8, 19.3.5 და 19.4.2 ვერსიებში. ახალი გამოსწორებული ვერსიები ერთი პაჩით მაღლა დგას, ამიტომ მაშინ განახლებული ინსტანცია კვლავ დაუცველ დიაპაზონშია. GitLab-ის ცნობით, ხარვეზის გამოყენების არავითარი ნიშანი არ არსებობს და 22 ოქტომბრის მდგომარეობით ის არ არის CISA-ს ცნობილი ექსპლუატირებული დაუცველობების კატალოგში. 21 ოქტომბრის განახლება ასევე ასწორებს სულ თერთმეტ უსაფრთხოების პრობლემას, მათ შორის ერთ კრიტიკულს, დანარჩენები კი მაღალი, საშუალო ან დაბალი რისკის არიან. ავთენტიფიკაციასთან დაკავშირებული კიდევ ორი ხარვეზი: CVE-2026-15723 მაღალი რისკის 8.2 შეფასებით, რომელიც სისტემაში შესულ მომხმარებელს სხვა ანგარიშის ხელში ჩაგდების საშუალებას აძლევს, როცა SAML-ისა და LDAP-ის ავტომატური დაკავშირება ერთდროულად ჩართულია, და CVE-2026-112212 მაღალი რისკის 7.5 შეფასებით, რომელიც OAuth-ისა და OpenID Connect-ის ენდპოინტებში ქეშის მოწამვლის ხარვეზია საერთო ქეშის გამოყენებისას. GitLab-ს არ გაუმხილავს ის წინაპირობები, რომლებიც რეგულარული გამოსახულების კომპილატორში გადავსების გამოსაწვევად არის საჭირო, ამიტომ ადმინისტრატორებს კონფიგურაციის ცვლილებებზე დაყრდნობა არ შეუძლიათ. გაფრთხილებაში დროებითი გვერდის ავლის გზა არ არის მოცემული და მხოლოდ შესწორება იძლევა საიმედო დაცვას. GitLab-მა ასევე გამოაქვეყნა Sigma ფორმატის ორი დეტექციის წესი, სახელწოდებით „Onigmo native worker crash“ და „Org mode render error burst“, რათა ადმინისტრატორებს ექსპლუატაციის მცდელობების მოძიებაში დაეხმაროს. ერთკვანძიან სერვერებზე 19.4.3 ან 19.3.6 ვერსიაზე განახლება მონაცემთა ბაზის ცვლილებებს მოიცავს, რომლებიც დასრულებამდე შეფერხებას იწვევს, ხოლო მრავალკვანძიან კონფიგურაციებში პაჩის გამოყენება GitLab-ის უშეფერხო განახლების პროცედურით შეიძლება.

ადრინდელი მასალა: GitLab აფრთხილებს მაქსიმალური სიმძიმის კოდის შესრულების ხარვეზზე

წყაროები: The Hacker News