GitLab пусна извънредни актуализации за сигурност, за да отстрани две критични уязвимости, които биха могли да позволят на автентикирани атакуващи да изпълнят произволен код върху уязвими GitLab сървъри чрез специално изработени регулярни изрази в CI/CD конфигурации.
Пропуските, проследявани като CVE-2026-89078 и CVE-2026-93577, засягат инсталациите на GitLab Community Edition и Enterprise Edition.
GitLab издаде коригираните версии 19.4.1, 19.3.3 и 19.2.7 на 23 септември 2026 г. и призова администраторите на самостоятелно управлявани инстанции да извършат обновяване незабавно. GitLab.com вече работи с коригираната версия, докато клиентите на GitLab Dedicated не е необходимо да предприемат действия.
CVE-2026-89078 е уязвимост от тип „двойно освобождаване на памет“ (double-free) в парсера за регулярни изрази на GitLab. При определени условия автентикиран потребител би могъл да подаде специално изработен регулярен израз чрез CI/CD конфигурация и да предизвика небезопасно управление на паметта на сървъра на GitLab.
Двойно освобождаване на памет възниква, когато софтуерът освободи една и съща област от паметта повече от веднъж. Киберпрестъпниците понякога могат да експлоатират това състояние на компрометиране на паметта, за да променят изпълнението на програмата, да предизвикат срив на услуги или да стартират контролиран от тях код.
GitLab оцени пропускa като критичен с CVSS оценка 9.9. Уязвимостта е докладвана чрез програмата за разкриване на бъгове HackerOne на GitLab от изследователя joaxcar.
Вторият проблем, CVE-2026-93577, е препълване на целочислени стойности (integer overflow) в компилатора на регулярни изрази. Препълване на целочислени стойности възниква, когато числова стойност надвиши диапазона, който програмата очаква или може безопасно да съхранява.
В този случай злонамерен регулярен израз, вграден в CI/CD конфигурация, би могъл да предизвика грешката по време на компилация и потенциално да позволи изпълнение на произволен код на сървъра на GitLab.
GitLab определи за CVE-2026-93577 CVSS оценка 9.9, което показва ниска сложност на атаката и тежки последици за конфиденциалността, целостта и наличността. За разлика от проблема с двойното освобождаване на памет, тази уязвимост носи и голямо въздействие върху наличността според оценката на CVSS от GitLab.
Грешки в GitLab позволяват изпълнение на код
И двете критични грешки засягат версиите на GitLab CE и EE, започвайки от 19.2 и продължавайки до новоиздадените корекции за сигурност. Уязвимите инсталации включват версии на GitLab 19.2 преди 19.2.7, версии на GitLab 19.3 преди 19.3.3 и версии на GitLab 19.4 преди 19.4.1.
Атаката изисква автентикация, което означава, че атакуващият трябва да има достъп до акаунт в GitLab. ТОВА условие обаче не трябва да намалява спешността от инсталирането на корекциите за сигурност.
Много GitLab среди предоставят акаунти на разработчици, подизпълнители, външни сътрудници или CI/CD потребители. Профил с ниски привилегии може да се превърне в вектор за компрометиране на самия приложен сървър на GitLab.
Тъй като сървърите на GitLab често съдържат изходен код, CI/CD тайни, идентификационни данни за внедряване, променливи на проекта и токени за достъп, успешното изпълнение на код от страна на сървъра може да създаде сериозен риск за веригата за доставки.
Атакуващ, който придобие контрол върху сървър на GitLab, може да се опита да достъпи частни хранилища, да открадне тайни от конвейера (pipeline), да промени логиката на компилиране или да се насочи към свързана инфраструктура за разработка.
Издадената от GitLab корекция за сигурност отстранява и уязвимостта от тип XSS с висока степен на сериозност CVE-2026-84739 в прегледника на разлики при заявки за сливане (merge request diff viewer), която би могла да позволи на автентикирани потребители да изпълняват JavaScript в браузърната сесия на друг потребител (CVSS 8.7).
GitLab също така отстрани CVE-2026-92470, проблем с оторизацията с висока степен на сериозност, засягащ функцията за отстраняване на неизправности в задачи с Duo AI в GitLab EE. Уязвимостта би могла да позволи на автентикиран потребител достъп до чувствителни стойности на CI/CD променливи от трасирания в режим на отлаждане поради липсващи проверки за оторизация.
Администраторите на GitLab трябва да обновят своите самостоятелно управлявани CE и EE инсталации до версия 19.4.1, 19.3.3 или 19.2.7 възможно най-скоро. Актуализациите включват миграции на бази данни, така че при внедрявания с един възел трябва да се планира прекъсване на работата, докато миграциите приключат. Инсталациите с множество възли могат да използват процеса на GitLab за обновяване без прекъсване на работата, където е приложимо.
Екипите по сигурност трябва също така да прегледат скорошните промени в CI/CD конфигурациите, особено новодобавените или модифицирани регулярни изрази във файловете .gitlab-ci.yml.
Прегледът на одитното проследяване на събития в GitLab, административната активност, необичайното поведение на инстанциите за изпълнение (runners), неочакваните промени в конвейерите и достъпа до CI/CD променливи може да помогне за идентифициране на възможна злоупотреба преди или след инсталиране на корекциите за сигурност.