В четвъртък GitLab призова потребителите си незабавно да обновят своите сървъри поради уязвимост от тип „path traversal“ с максимална степен на опасност, проследявана като CVE-2026-85706.
Проблемът в сигурността е открит от изследовател по киберсигурност с псевдоним „s3ntago“ и е докладван чрез програмата за възнаграждение за открити уязвимости на GitLab в HackerOne. Той произтича от неправилно ограничение на файловите пътища и липса на задължителна автентикация в API за коммити в хранилището.
Според GitLab неавтентикирани атакуващи могат да експлоатират CVE-2026-85706, за да прочетат произволни файлове от уязвими сървъри „при определени условия“.
Вчера GitLab отстрани втора критична уязвимост, проследявана като CVE-2026-87719, която произтича от несигурна десериализация в GraphQL сериализатора за абонаменти.
CVE-2026-87719 засяга GitLab EE и позволява на автентикирани потребители с достъп до Duo Chat да откраднат чувствителни идентификационни данни и конфигурации на екземпляри на Advanced Search.
В четвъртък GitLab отстрани двата проблема със сигурността в GitLab Community Edition (CE) и Enterprise Edition (EE) версии 19.3.2, 19.2.6 и 19.1 и призова потребителите незабавно да инсталират корекциите за сигурност в своите системи.
„Тези версии съдържат важни корекции на грешки и подобрения в сигурността, затова горещо препоръчваме всички самостоятелно управлявани (self-managed) инсталации на GitLab незабавно да бъдат обновени до една от тези версии“, предупреди компанията в четвъртък. „GitLab.com вече работи с коригираната версия. Клиентите на GitLab Dedicated не е необходимо да предприемат действия.“
През май 2023 г. GitLab отстрани друга уязвимост от тип „path traversal“ с максимална степен на опасност (CVE-2023-2825), която излагаше на риск чувствителни данни, включително патентован софтуерен код, потребителски идентификационни данни, токени и файлове на необновени сървъри.
Година по-късно CISA и ФБР призоваха софтуерните компании да премахнат уязвимостите от тип „path traversal“ от продуктите си преди разпространение, като отбелязаха, че подобни дефекти „са наричани ‚непростими‘ най-малко от 2007 г. насам“.
По-наскоро, през януари, GitLab отстрани и сериозна уязвимост за заобикаляне на двуфакторна автентикация, засягаща изданията Community и Enterprise, която позволяваше на атакуващи, знаещи идентификатора на целевия акаунт, да заобиколят двуфакторната автентикация.
От ноември 2021 г. насам Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) е отбелязала четири уязвимости в GitLab като активно експлоатирани в атаки, включително две (CVE-2021-22175 и CVE-2021-39935) през февруари тази година.
DevSecOps платформата GitLab има над 30 милиона регистрирани потребители и се използва от над 50% от компаниите в списъка Fortune 100, включително Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs и UBS.