GitLab-ი აფრთხილებს კოდის შესრულების მაქსიმალური სიმძიმის დაუცველობაზე

კრიტიკული ხარვეზი CI/CD რეგექსების კომპილატორში

GitLab-მა ორშაბათს მომხმარებლებს მოუწოდა, დაუყოვნებლივ გამოასწორონ მაქსიმალური სიმძიმის დაუცველობა CI/CD რეგულარული გამოსახულებების კომპილატორში, რომელიც დისტანციურ თავდამსხმელებს სამიზნე ინსტანსებზე თვითნებური კოდის გაშვების საშუალებას აძლევს. დაუცველობას მიენიჭა CVE-2026-97229 იდენტიფიკატორი; ის აღმოაჩინა უსაფრთხოების მკვლევარმა ფსევდონიმით joaxcar და GitLab-ის HackerOne-ის ბაგების ძიების პროგრამის მეშვეობით შეატყობინა.

GitLab-ის უსაფრთხოების ბიულეტენის თანახმად, პრობლემა გამოწვეულია მთელი რიცხვის გადავსების სისუსტით კომპონენტში, რომელიც აანალიზებს, კომპილირებს და ამუშავებს რეგულარულ გამოსახულებებს პროექტების პაიპლაინის კონფიგურაციის ფაილებში. გარკვეულ პირობებში, არაავტორიზებულ მომხმარებელს შეუძლია GitLab-ის სერვერზე თვითნებური კოდი გაუშვას სპეციალურად შექმნილი რეგულარული გამოსახულებით CI/CD კონფიგურაციაში, რეგულარული გამოსახულებების არასაკმარისი ვალიდაციის გამო.

პაჩები და დაზარალებული ვერსიები

GitLab-მა პრობლემა გამოასწორა Community Edition (CE) და Enterprise Edition (EE) ვერსიებში 19.2-ის 19.2.8-მდე, 19.3-ის 19.3.4-მდე და 19.4-ის 19.4.2-მდე. კომპანიამ განაცხადა, რომ ეს ვერსიები მნიშვნელოვან შეცდომებისა და უსაფრთხოების გამოსწორებებს შეიცავს და კატეგორიულად ურჩევს ყველა თვითმართვადი GitLab-ის ინსტალაციის დაუყოვნებლივ განახლებას ამ ვერსიებიდან ერთ-ერთზე.

GitLab.com უკვე მუშაობს გამოსწორებულ ვერსიაზე, ხოლო GitLab Dedicated-ის მომხმარებლებს რაიმე ქმედების განხორციელება არ სჭირდებათ.

GitLab-ის ბოლოდროინდელი უსაფრთხოების პრობლემები

CVE-2026-97229 უახლესია იმ დაუცველობათა სერიაში, რომლებიც GitLab-მა ბოლო თვეებში გამოასწორა. იანვარში კომპანიამ გამოასწორა მაღალი სიმძიმის ორფაქტორიანი ავტორიზაციის გვერდის ავლა (CVE-2026-0723), რაც საშუალებას აძლევს თავდამსხმელებს, რომლებმაც იციან სამიზნის ანგარიშის ID, გვერდი აუარონ ორფაქტორიან ავტორიზაციას Community და Enterprise Edition სერვერებზე.

გასულ თვეში GitLab-მა გამოასწორა კიდევ ერთი მაქსიმალური სიმძიმის დაუცველობა (CVE-2026-85706) CE/EE-ში, რომელიც არაავტორიზებულ თავდამსხმელებს საშუალებას აძლევს, დაუცველი სერვერებიდან წაიკითხონ მგრძნობიარე მონაცემები, როგორიცაა ავტორიზაციის მონაცემები და სხვა საიდუმლოები. ერთი დღის შემდეგ აშშ-ის კიბერუსაფრთხოებისა და ინფრასტრუქტურის უსაფრთხოების სააგენტომ (CISA) CVE-2026-85706 დაამატა რეალურ თავდასხმებში გამოყენებული დაუცველობების კატალოგში და ფედერალურ სააგენტოებს დაავალა, სამ დღეში უზრუნველყონ თავიანთი სისტემების დაცვა.

CISA-მ 2021 წლის ნოემბრიდან მოყოლებული თავდასხმებში გამოყენებული GitLab-ის ხუთი დაუცველობა დაასახელა, მათ შორის ერთი, რომელსაც გამომძალველი პროგრამების ჯგუფები იყენებდნენ. GitLab-ის თქმით, მის DevSecOps პლატფორმას 30 მილიონზე მეტი რეგისტრირებული მომხმარებელი და Fortune 100-ის კომპანიების 50%-ზე მეტი იყენებენ, მათ შორის Nvidia, T Mobile, Lockheed Martin, Airbus და Goldman Sachs.

წყაროები: Lobsters