Bejelentkezés nélkül enged kódot futtatni a GitLab most javított hibája
Távolról, hitelesítés nélkül futtathat tetszőleges kódot egy támadó a sérülékeny GitLab-szerveren egy speciálisan összeállított reguláris kifejezéssel. A maximális, 10-es CVSS-pontszámú hibához már elérhetők a javítások, a gyártó az érintett telepítések azonnali frissítését kéri. Egy korábbi, adatolvasást lehetővé tevő GitLab-sebezhetőséget a CISA szerint már tényleges támadásokban is kihasználtak.
Fontos
Aktívan kihasznált, kritikus: CVSS 10.0
A konfigurációt feldolgozó összetevőben van a hiba
A CVE-2026-110264 azonosítójú sérülékenység a GitLab Community Edition (CE) és Enterprise Edition (EE) kiadását érinti. A problémát a „joaxcar” néven dolgozó biztonsági kutató jelentette a GitLab HackerOne hibavadász programján keresztül.
A hiba a reguláris kifejezéseket fordító háttérkomponensben található. Ez az összetevő a konfigurációs fájlokban szereplő ilyen kifejezéseket dolgozza fel és ellenőrzi. Egy különlegesen összeállított bemenet fordításakor egészszám-túlcsordulás léphet fel, ami bizonyos feltételek mellett kódfuttatást tesz lehetővé a kiszolgálón.
A támadónak ehhez nem kell hitelesítenie magát. A CVSS-pontszám a sebezhetőség műszaki súlyosságát jelzi, nem azt, hogy ténylegesen kihasználják-e.
Ezekben a kiadásokban már benne van a javítás
A GitLab az alábbi CE- és EE-verziókban szüntette meg a sérülékenységet:
- 19.5.1
- 19.4.3
- 19.3.6
- 19.2.9
- 19.1.9
- 19.0.10
- 18.11.13
Az érintettség a 7.0-s verzióig nyúlik vissza. A felsorolt kiadási ágakban a javított változatok előtti verziók sérülékenyek. A gyártó azt kéri, hogy minden érintett telepítést mielőbb a legújabb változatra frissítsenek; ez a saját üzemeltetésű példányoknál az üzemeltető teendője.
A közlemény nem pusztán egy jövőbeli javítást ígér: a felsorolt csomagok már tartalmazzák a megoldást.
A GitLab.com már javított verziót futtat
A GitLab.com szolgáltatásban már telepítették a javítást. A GitLab Dedicated esetében a 19.3.5-internal0 és a 19.4.2-internal0, illetve az ezeknél újabb változatok szintén tartalmazzák azt. Az ilyen verziókat használó bérlőknek a gyártó szerint nincs további teendőjük.
A szolgáltatott környezeteknél tehát a közlemény konkrétan megnevezi a már védett változatokat, míg az érintett saját telepítésekhez mielőbbi verzióváltást javasol.
A 2700-nál több elérhető példány nem mind bizonyítottan sérülékeny
A Shadowserver több mint 2700, az internet felől elérhető GitLab CE-példányt tart nyilván. Az adat az elérhetőséget mutatja: a szervezet nem közölte, közülük mennyi kapta már meg a biztonsági javítást.
Arról sincs adat, hány példány szolgál támadók megfigyelésére telepített csapdaként. A teljes állományt ezért a forrás sem azonosítja javítatlan szerverek csoportjaként.
Korábbi kritikus hibák is érintették a GitLab rendszerét
A mostani eset előtt a GitLab a CVE-2026-97229 jelű, ugyancsak maximális súlyosságú kódfuttatási hibáról is figyelmeztetett. Ezt szintén „joaxcar” jelentette; annál egy CI/CD-konfigurációban elhelyezett, speciális reguláris kifejezés okozhatott problémát.
Ettől különálló sérülékenység a szeptemberben javított CVE-2026-85706, amely hitelesítés nélkül érzékeny adatok, például hitelesítő adatok olvasását engedte. A CISA ezt felvette a bizonyítottan kihasznált sebezhetőségek listájára, és az amerikai szövetségi szerveknek három napon belüli javítást írt elő.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum