GitLab попереджає про вразливість максимальної серйозності для виконання коду

Критична помилка в компіляторі регулярних виразів CI/CD

GitLab у понеділок закликав користувачів негайно усунути вразливість максимальної серйозності в компіляторі регулярних виразів CI/CD, яка дозволяє дистанційним зловмисникам запускати довільний код на цільових інстансах. Вразливості присвоєно ідентифікатор CVE-2026-97229; її виявив дослідник безпеки під псевдонімом joaxcar і повідомив через програму пошуку багів HackerOne від GitLab.

Згідно з бюлетенем безпеки GitLab, проблема спричинена слабкістю переповнення цілого числа в компоненті, який аналізує, компілює та обробляє регулярні вирази у файлах конфігурації пайплайнів проєктів. За певних умов неавторизований користувач може запустити довільний код на сервері GitLab за допомогою спеціально створеного регулярного виразу в конфігурації CI/CD через недостатню валідацію регулярних виразів.

Патчі та уражені версії

GitLab усунув проблему у версіях Community Edition (CE) та Enterprise Edition (EE) до 19.2.8 для 19.2, до 19.3.4 для 19.3 та до 19.4.2 для 19.4. Компанія заявила, що ці версії містять виправлення суттєвих помилок та оновлень безпеки, і категорично рекомендує всім власникам самостійних інсталяцій GitLab негайно оновитися до однієї з цих версій.

GitLab.com уже працює на виправленій версії, а користувачам GitLab Dedicated не потрібно вживати жодних дій.

Останні проблеми безпеки GitLab

CVE-2026-97229 є останньою в серії вразливостей, які GitLab усунув за останні місяці. У січні компанія виправила високоефективну вразливість обходу двофакторної автентифікації (CVE-2026-0723), яка дозволяє зловмисникам, що знають ID облікового запису цілі, обійти двофакторну автентифікацію на серверах Community та Enterprise Edition.

Минулого місяця GitLab усунув ще одну вразливість максимальної серйозності (CVE-2026-85706) в CE/EE, яка дозволяє неавторизованим зловмисникам читати конфіденційні дані, такі як облікові дані автентифікації та інші секрети, з незахищених серверів. Через один день Агентство кібербезпеки та безпеки інфраструктури США (CISA) додало CVE-2026-85706 до каталогу активно експлуатуваних вразливостей і закликало федеральні агентства забезпечити захист своїх систем протягом трьох днів.

CISA з листопада 2021 року виявила п'ять вразливостей GitLab, які використовувалися в атаках, зокрема одну, яку використовували групи з вимогливим програмним забезпеченням. За словами GitLab, її платформою DevSecOps користуються понад 30 мільйонів зареєстрованих користувачів та понад 50% компаній зі списку Fortune 100, серед яких Nvidia, T Mobile, Lockheed Martin, Airbus та Goldman Sachs.

Джерела: Lobsters