Bejelentkezés nélkül támadható GitLab-hibát használnak ki a CISA szerint
Egy speciálisan összeállított CI/CD-konfigurációval bejelentkezés nélkül is tetszőleges kódot futtathatnak a GitLab szerverén. A CISA már tényleges kihasználást tart nyilván a kritikus hibánál, amelyhez javított kiadások is elérhetők.
Frissítés (2026. november 4.): újabb cikkünk az ügyről
Már támadják a GitLab kritikus hibáját, több mint 1000 szerver javítatlan
Fontos
Aktívan kihasznált, kritikus: CVSS 10.0
A konfigurációban megadott kifejezés nyit utat
A CVE-2026-97229 a GitLab Community Edition és Enterprise Edition egyes verzióit érinti. A leírás szerint a reguláris kifejezések elégtelen ellenőrzése miatt egy különlegesen összeállított CI/CD-konfiguráció bizonyos feltételek mellett tetszőleges kód futtatását teheti lehetővé. Ehhez a támadónak nem kell bejelentkeznie.
A sebezhetőség CVSS-pontszáma 10, besorolása kritikus. Ez a mutató a műszaki súlyosságot jelzi; a tényleges visszaélést ettől külön a CISA kihasznált sebezhetőségeket felsoroló nyilvántartása igazolja.
Ezek a kiadások tartalmazzák a javítást
A hiba az alábbi verzióágakban érinti mindkét GitLab-kiadást. Saját üzemeltetésű, érintett példánynál frissíts a javított változatra, a gyártó útmutatását követve.
| Verzióág | Érintett változatok | Javított kiadás |
|---|---|---|
| 19.2 | 19.2-től, 19.2.8 előtt | 19.2.8 |
| 19.3 | 19.3-tól, 19.3.5 előtt | 19.3.5 |
| 19.4 | 19.4-től, 19.4.2 előtt | 19.4.2 |
A forrás nem ad olyan konkrét CI/CD-ellenőrzési eljárást, amelyet a javítás helyetti megoldásként lehetne követni.
A november 1-jei határidő amerikai előírás
A CISA 2026. október 29-én vette fel a hibát a kihasznált sebezhetőségek listájára. A bejegyzésben megadott javítási határidő 2026. november 1., de ez az amerikai szövetségi szerveknek előírt dátum, nem általános magyarországi kötelezettség.
A CISA a gyártói intézkedések alkalmazása mellett az egyes rendszerek internetes kitettségének értékelését is előírja. A nyilvántartásban ismeretlenként szerepel, hogy a sérülékenységet zsarolóvírusos támadásokban is felhasználták-e.
Az ügy eddig
- Bejelentkezés nélkül támadható GitLab-hibát használnak ki a CISA szerint (ez a cikk)
- Már támadják a GitLab kritikus hibáját, több mint 1000 szerver javítatlan
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum