Hitelesítés nélküli kódfuttatást javított a GitLab CE és EE kiadásaiban
Kritikus biztonsági hibát javított a GitLab a Community Edition (CE) és Enterprise Edition (EE) kiadásokban. Egy speciálisan összeállított CI/CD-konfiguráció bizonyos feltételek mellett bejelentkezés nélkül is kódfuttatást tehet lehetővé a szerveren. Az érintett, saját üzemeltetésű példányokat kezelő magyar rendszergazdák számára a javított kiadásra frissítés a teendő.
Fontos
Aktívan kihasznált, kritikus: CVSS 10.0
A CI/CD-konfiguráción keresztül érhető el a hiba
A CVE-2026-97229 azonosítójú sebezhetőség a CI/CD-konfigurációban megadott reguláris kifejezések elégtelen ellenőrzéséhez kapcsolódik. A GitLab közlése szerint egy erre a célra összeállított kifejezés bizonyos körülmények között tetszőleges kód végrehajtását teheti lehetővé a GitLab szerverén. Ehhez a támadónak nem szükséges hitelesítenie magát.
A hiba CVSS-pontszáma 10,0, vagyis a műszaki súlyosságot jelző, 0-tól 10-ig terjedő skála maximuma. Ez a besorolás önmagában nem mutatja meg, hogy kihasználják-e a sebezhetőséget. A közlés feltételekhez köti a kódfuttatás lehetőségét, de ezeket nem részletezi.
Ezekben a kiadásokban van javítás
A kritikus hiba a CE és az EE következő verzióit érinti:
- a 19.2-es sorozatot a 19.2.8 előtti kiadásokig;
- a 19.3-as sorozatot a 19.3.5 előtti kiadásokig;
- a 19.4-es sorozatot a 19.4.2 előtti kiadásokig.
A javítás a 19.2.8, 19.3.5 és 19.4.2 verzióban érhető el. Az érintett, saját üzemeltetésű példányoknál a használt kiadási ághoz tartozó javított változatra frissítés indokolt.
A felsorolás kifejezetten a kritikus kódfuttatási hibára vonatkozik. A vele együtt javított további sebezhetőségek érintettségi köre korábbi kiadásokra is kiterjedhet.
Három további súlyos hibát is lezártak
Ugyanezek a kiadások három magas súlyosságú sebezhetőséget is javítanak. A CVE-2026-92883 pontszáma 8,7: egy bejelentkezett felhasználó speciálisan kialakított kódtárral más felhasználók böngésző-munkamenetében futtathat JavaScript-kódot.
A 8,5 pontos CVE-2026-16301 jogosultság-ellenőrzési probléma. Bizonyos feltételek mellett a Developer szerepkörű felhasználó engedély nélkül indíthat CI/CD-folyamatokat védett ágakon.
A CVE-2026-14814 pontszáma 8,2. Ennél a nyers kódtárfájlok gyorsítótárazott válaszai manipulálhatók. Emiatt a célzott felhasználók CI/CD-folyamatai támadói tartalmat hajthatnak végre, és védett környezeti változók is hozzáférhetővé válhatnak.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum