GitLab предупреди потребителите днес незабавно да инсталират корекции за сигурност за уязвимост от максимална степен в компилатора за регулярни изрази в CI/CD (CI/CD Regular Expression Compiler), която би могла да позволи на отдалечени атакуващи да изпълняват произволен код на засегнатите инстанции.
Проследявана като CVE-2026-97229, тази критична уязвимост в сигурността е открита от изследовател по киберсигурност, използващ псевдонима ‚joaxcar‘, и докладвана чрез програмата за награди за открити бъгове HackerOne на GitLab.
CVE-2026-97229 произтича от слабост, свързана с препълване на целочислен тип (integer overflow), в CI/CD Regular Expression Compiler на GitLab, който парсва, компилира и оценява регулярни изрази в конфигурационните файлове на пайплайните на проектите.
„GitLab отстрани проблем, който при определени условия би могъл да позволи на неавтентифициран потребител да изпълни произволен код на сървъра на GitLab чрез специално създаден регулярен израз в конфигурация на CI/CD поради недостатъчна валидация на регулярния израз“, обясни компанията в бюлетин от понеделник.
GitLab коригира уязвимостта в сигурността във версиите на GitLab Community Edition (CE) и Enterprise Edition (EE) от 19.2 преди 19.2.8, 19.3 преди 19.3.4 и 19.4 преди 19.4.2, и призова потребителите незабавно да обновят своите сървъри.
„Тези версии съдържат важни корекции на грешки и сигурността и ние силно препоръчваме всички самостоятелно управлявани инсталации на GitLab да бъдат обновени до една от тези версии незабавно“, предупредиха от компанията. „GitLab.com вече работи с коригираната версия. Клиентите на GitLab Dedicated не е необходимо да предприемат действия.“
CVE-2026-97229 е най-новата от поредица уязвимости, които GitLab отстрани през последните месеци. През януари GitLab отстрани уязвимост с висока степен на опасност за заобикаляне на двуфакторна автентикация (CVE-2026-0723), която позволява на атакуващи, знаещи идентификатора на акаунта на жертвата, да заобиколят двуфакторната автентикация на сървъри с community и enterprise версии.
Миналия месец тя коригира друга уязвимост от максимална степен (CVE-2026-85706) в GitLab CE/EE, която позволява на неавтентифицирани атакуващи да четат чувствителни данни, като идентификационни данни и други тайни, от уязвими сървъри.
Ден по-късно Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA) добави CVE-2026-85706 към своя каталог с уязвимости, експлоатирани в реални условия, и нареди на федералните агенции да защитят системите си в рамките на три дни.
CISA е маркирала пет уязвимости в GitLab, злоупотребени при атаки от ноември 2021 г. насам, включително една, експлоатирана от групи за рансъмуер.
От GitLab заявяват, че над 30 милиона регистрирани потребители и повече от 50% от компаниите от Fortune 100 използват тяхната DevSecOps платформа, включително Nvidia, T-Mobile, Lockheed Martin, Airbus и Goldman Sachs.