GitLab пусна корекции за сигурност на 21 октомври за уязвимост, която позволява на атакуващ да изпълни код на самостоятелно управляван сървър (self-managed) без да влиза в системата, като проблемът засяга всяка версия на софтуера от 7.0 насам, издадена през 2014 г.
Корекцията за сигурност е важна дори за администратори, които са инсталирали обновления девет дни по-рано: актуализацията от 12 октомври обхващаше само версии 19.2 и по-нови, а новите коригирани версии са с едно обновяване над нея, така че инсталация, обновена тогава, отново е в обхвата на засегнатите.
Уязвимостта, проследявана като CVE-2026-110264, е оценена с 10.0 по скалата CVSS, което е максималната стойност. GitLab посочва, че при определени условия тя би могла да позволи на неавтентикиран потребител да изпълни произволен код на сървъра поради препълване на целочислен тип (integer overflow) по време на компилацията на специално създаден регулярен израз.
От GitLab не уточняват какви са тези условия. Компанията съобщава, че няма данни уязвимостта да е била използвана при атаки, и към 22 октомври тя не е включена в каталога с известни експлоатирани уязвимости на CISA в САЩ.
Само самостоятелно управляваните инсталации трябва да предприемат действия. GitLab.com вече използва коригираната версия, а наемателите на GitLab Dedicated на вътрешните издания 19.3.5-internal0 и 19.4.2-internal0 или по-нови вече разполагат с отстранената уязвимост.
GitLab коригира уязвимостта в седем версии едновременно.
Таблицата по-долу свързва всеки клон на изданието с версията, която го коригира.
| Ако използвате | Надградете до |
|---|---|
| 19.5 преди 19.5.1 | 19.5.1 |
| 19.4 преди 19.4.3 | 19.4.3 |
| 19.3 преди 19.3.6 | 19.3.6 |
| 19.2 преди 19.2.9 | 19.2.9 |
| 19.1 преди 19.1.9 | 19.1.9 |
| 19.0 преди 19.0.10 | 19.0.10 |
| 7.0 до 18.11, преди 18.11.13 | 18.11.13 |
Четири от тези версии са по-стари от онези, за които GitLab обикновено предоставя обновления. Политиката на компанията покрива текущото издание и предишните две месечни издания, които към днешна дата са 19.5, 19.4 и 19.3.
От GitLab заявиха, че са пренесли обратно тази корекция за сигурност към 18.11.13, 19.0.10, 19.1.9 и 19.2.9 в допълнение към стандартните си издания — стъпка, която запазват за особено критични проблеми.
Причината уязвимостта да достига толкова назад във времето е компонентът на GitLab, в който е възникнал дефектът. Компилаторът на регулярни изрази е вграденият механизъм на Ruby, наречен Onigmo, който GitLab доставя в собствените си пакети и обновява в собствените си компилации. Слабост в този механизъм присъства навсякъде, където GitLab го е внедрил, а това е всяка версия от 7.0 насам.
GitLab също така публикува две правила за откриване, за да помогне на администраторите на самостоятелно управлявани инсталации да следят за опити за експлоатация, озаглавени „Onigmo native worker crash“ и „Org mode render error burst“. Те са част от рамката с отворен код TLDR на компанията, която описва всяко откриване във формат Sigma спрямо собствените регистрационни файлове (logs) на приложенията на GitLab.
GitLab все още не съобщава какви предварителни условия са необходими на атакуващ, за да достигне до компилатора, така че администраторите все още не могат да изключат риска само чрез конфигурация; инсталирането на корекции за сигурност е единствената сигурна защита, а бюлетинът на GitLab не предлага временни обходни решения.
Това е четвъртата уязвимост за изпълнение на код в механизма за регулярни изрази на GitLab, докладвана в рамките на един месец от същия изследовател, използващ псевдонима joaxcar, и първата, която засяга версии преди 19.2.
На 12 октомври GitLab отстрани уязвимост CVE-2026-97229, която също е с оценка 10.0 за препълване в компилатора на регулярни изрази без автентикация, във версии 19.2.8, 19.3.5 и 19.4.2. На 23 септември бяха коригирани още две — CVE-2026-93577 и CVE-2026-89078, и двете с оценка 9.9, но изискващи вписан акаунт. Трите по-ранни уязвимости се простираха назад само до версия 19.2; настоящата обаче засяга и по-старите.
Изданието от 21 октомври коригира общо 11 проблема със сигурността — един критичен, а останалите с висока, средна или ниска степен на опасност.
Два от останалите засягат автентикацията. CVE-2026-15723, с висока оценка 8.2, би могла да позволи на вписан потребител да превземе друг акаунт, но само когато администраторът е активирал едновременно автоматичното свързване чрез SAML и LDAP.
Уязвимост от тип cache poisoning в крайните точки за OAuth и OpenID Connect на GitLab, CVE-2026-112212, оценена като висока със 7.5, би могла да позволи на атакуващ да пренасочи определени процеси по вход към контролиран от него сървър в конфигурации, използващи споделен кеш.
Надграждането изисква планиране. Изданията 19.4.3 и 19.3.6 включват промени в базата данни, които се изпълняват по време на обновяването, а на сървър с един възел това означава прекъсване на работата до тяхното завършване. GitLab посочва, че конфигурации с множество възли могат да приложат корекцията за сигурност без прекъсване, като използват процедурата за нулев престой (zero-downtime).