Максимална степен на опасност: GitLab затвори уязвимост с оценка CVSS 10
Чрез манипулирани регулярни изрази нападатели са можели без вход в системата да изпълняват код на сървъри на GitLab. Администраторите на собствени инсталации трябва да обновят веднага.
Графика: TERRA WORLD NEWS (собствена графика по данните от източниците)
Платформата за разработчици GitLab затвори уязвимост, оценена с възможно най-високата степен на опасност – 10,0. Според производителя грешката с означение CVE-2026-97229 се намира в компонента, който обработва регулярни изрази в CI/CD конфигурации. Специално подготвен израз е можел да предизвика препълване на цяло число. Нападателите не са се нуждаели нито от данни за достъп, нито от действие на потребител – достатъчен е бил мрежов достъп до уязвима инсталация, за да изпълнят собствен код на сървъра.
Засегнати са изданията Community и Enterprise във версиите 19.2, 19.3 и 19.4. Проблемът е отстранен във версиите 19.2.8, 19.3.5 и 19.4.2, публикувани на 12 октомври. Облачната платформа GitLab.com вече е защитена, а клиентите на услугата Dedicated не трябва да предприемат нищо. Според бюлетина за сигурност досега няма данни за активни атаки, а публичен пример за атака първоначално не е бил известен.
С обновлението GitLab отстранява общо 24 уязвимости: една критична, пет с висока, 14 със средна и четири с ниска степен. Производителят съветва всички администратори на самостоятелно управлявани сървъри да обновят незабавно. При инсталации на един сървър миграциите на базата данни изискват кратко прекъсване, а при добре планирано обновяване на няколко възела това може да се избегне.