GitLab пусна спешни актуализации за сигурност, за да отстрани критична уязвимост, която би могла да позволи на атакуващи да изпълнят произволен код на засегнатите сървъри без необходимост от удостоверяване.

Проследявана като CVE-2026-97229, уязвимостта има максимална оценка 10.0 по CVSS и засяга както GitLab Community Edition, така и Enterprise Edition. Компанията публикува корекции за сигурност на 12 октомври 2026 г.

Уязвимостта е свързана с препълване на целочислен тип (integer overflow) в компилатора за регулярни изрази на CI/CD в GitLab. От GitLab посочват, че недостатъчната валидация на регулярни изрази може да позволи на неавтентифициран атакуващ да задейства изпълнение на код чрез специално конструиран израз в CI/CD конфигурация. Регулярните изрази представляват текстови шаблони, използвани за напасване или филтриране на данни. В този случай обработката на злонамерен шаблон би могла да компрометира самия сървър на GitLab.

Според бюлетина за сигурност на GitLab експлоатацията е възможна при определени условия. Публикуваното описание не предоставя пълна последователност на атаката, нито уточнява точните необходими условия.

Въпреки това CVSS векторът посочва мрежов достъп, ниска сложност на атаката, липса на изисквания за привилегии и отсъствие на необходимост от потребителско взаимодействие. Той също така определя високо въздействие върху поверителността, целостта и наличността.

Става въпрос за изпълнение на код от страната на сървъра, а не за зловреден JavaScript, изпълняван в браузъра на посетител. Тази разлика прави проблема особено сериозен за организации, които поддържат проекти за разработка на засегнати инсталации на GitLab.

Успешната експлоатация би могла да застраши данните и работата на сървъра. В съобщението за версията не се посочва атакуващи да са експлоатирали тази уязвимост в реални атаки.

GitLab изрази признателност към изследователя по сигурността joaxcar за докладването на проблема чрез програмата за награди за открити бъгове в HackerOne. По-рано през септември компанията отстрани критични уязвимости в регулярните изрази на GitLab CI/CD.

Тези предишни слабости изискваха автентикация, докато новоразкритият проблем би могъл да позволи експлоатация без наличие на потребителски профил. В бюлетина не се посочва дали тези уязвимости споделят една и съща първопричина.

Засегнати версии и необходими актуализации

Засегнатите версии са GitLab CE и EE от 19.2 преди 19.2.8, от 19.3 преди 19.3.4 и от 19.4 преди 19.4.2. Администраторите трябва незабавно да обновят засегнатите самостоятелно управлявани инсталации до съответната коригирана версия. GitLab.com вече използва коригираната версия, а за клиентите на GitLab Dedicated не се налага да предприемат действия.

Новата версия адресира и други слабости в сигурността, включително междусайтово скриптиране (XSS), сривове в оторизацията и проблем, свързан с подканите (prompts) в платформата GitLab Duo Agent Platform. По-ранните актуализации на сигурността на GitLab, покриващи слабости при оторизацията в CI/CD, показват защо администраторите трябва да прегледат пълното известие за корекциите, вместо да се фокусират само върху водещата уязвимост.

GitLab предупреждава, че версия 19.3.4 съдържа известен бъг, засягащ страниците за заявки за сливане (merge requests), когато е активирана интеграцията с Ona. Корекция се планира за версия 19.3.5.

Администраторите трябва да вземат под внимание този проблем при обновяването, без да пренебрегват спешната корекция за сигурност. Предоставените насоки за сигурност на инстанции на GitLab предлагат по-широки съвети за защита.