GitLab, maksimum şiddetteki kod çalıştırma güvenlik açığı konusunda uyarıyor

CI/CD regex derleyicisindeki kritik hata

GitLab Pazartesi günü kullanıcıları, uzak saldırganların hedef örneklerde istenmeyen kod çalıştırmasına olanak tanıyan CI/CD düzenli ifade derleyicisindeki maksimum şiddetteki güvenlik açığını derhal düzeltmeleri için çağırdı. Güvenlik açığına CVE-2026-97229 tanımlayıcısı verildi; güvenlik araştırmacısı joaxcar takma adıyla buldu ve GitLab'ın HackerOne hata ödül programı aracılığıyla bildirdi.

GitLab'ın güvenlik bültenine göre, sorun, projelerin yapılandırma dosyalarında düzenli ifadeleri analiz eden, derleyen ve işleyen bileşendeki tam sayı taşması zayıflığından kaynaklanmaktadır. Belirli koşullarda, yetkisiz bir kullanıcı, düzenli ifadelerin yetersiz doğrulanması nedeniyle CI/CD yapılandırmasında özel olarak oluşturulmuş bir düzenli ifadeyle GitLab sunucusunda istenmeyen kod çalıştırabilir.

Yamalar ve etkilenen sürümler

GitLab, Community Edition (CE) ve Enterprise Edition (EE) sürümlerinde 19.2 için 19.2.8'e, 19.3 için 19.3.4'e ve 19.4 için 19.4.2'ye kadar olan sürümlerde sorunu düzeltti. Şirket, bu sürümlerin önemli hata ve güvenlik düzeltmeleri içerdiğini ve tüm kendi kendine yönetilen GitLab kurulumlarının derhal bu sürümlerden birine güncellenmesini kesinlikle önerdiğini açıkladı.

GitLab.com zaten düzeltilmiş sürümde çalışıyor, GitLab Dedicated kullanıcılarının herhangi bir işlem yapmasına gerek yoktur.

GitLab'ın son dönem güvenlik sorunları

CVE-2026-97229, GitLab'ın son aylarda düzelttiği güvenlik açıkları serisinin en yeni öğesidir. Ocak ayında şirket, saldırganların hedef hesap ID'sini bildikleri iki faktörlü kimlik doğrulamayı atlamasına olanak tanıyan yüksek şiddetteki iki faktörlü kimlik doğrulama sayfası bypass'ını (CVE-2026-0723) düzeltti, bu da Community ve Enterprise Edition sunucularında mümkün kılıyordu.

Geçen ay GitLab, CE/EE'de yetkisiz saldırganların açık sunuculardan kimlik doğrulama bilgileri ve diğer sırlar gibi hassas verileri okumasına olanak tanıyan bir başka maksimum şiddetteki güvenlik açığını (CVE-2026-85706) düzeltti. Bir gün sonra, ABD Siber Güvenliği ve Altyapı Güvenliği Ajansı (CISA), CVE-2026-85706'yı gerçek saldırılarda kullanılan güvenlik açıkları kataloğuna ekledi ve federal ajanslara sistemlerini üç gün içinde güvence altına almalarını emretti.

CISA, Kasım 2021'den bu yana saldırılarda kullanılan beş GitLab güvenlik açığını tanımladı, arasında siber suç gruplarının kullandığı da var. GitLab'e göre, DevSecOps platformu 30 milyondan fazla kayıtlı kullanıcıya ve Fortune 100 şirketlerinin %50'sinden fazlasına hizmet veriyor, aralarında Nvidia, T Mobile, Lockheed Martin, Airbus ve Goldman Sachs bulunuyor.

Kaynaklar: Lobsters