Bejelentkezés nélküli kódfuttatást javít a GitLab, már újabb kiadásra kell frissíteni

A GitLab október 12-én adta ki a Community Edition (CE) és Enterprise Edition (EE) 19.4.2, 19.3.5 és 19.2.8 verzióját. A közlemény legsúlyosabb tétele a CVE-2026-97229: a CI/CD-konfigurációban megadott, különlegesen összeállított reguláris kifejezés ellenőrzése nem volt megfelelő. Ez bizonyos körülmények között tetszőleges kód végrehajtását engedhette meg a kiszolgálón, hitelesítés nélkül.

A sebezhetőség a 19.2 ágat a javított kiadásig, valamint a 19.3 és 19.4 ág korábbi változatait érinti. A gyártó nem szűkítette a problémát egyetlen telepítési módra sem.

A hiba CVSS-pontszáma 10,0. Ez a műszaki súlyosságot jelzi, nem azt, hogy történt-e már visszaélés. A bejelentést a joaxcar néven ismert kutató küldte be a HackerOne hibavadászprogramon keresztül.

Az október 22-i beszámoló már egy másik, szintén 10,0-s súlyosságú problémáról szól. A CVE-2026-110264 a konfigurációs fájlok reguláris kifejezéseit feldolgozó és ellenőrző háttérkomponensben található. Egy speciálisan összeállított kifejezés fordításakor fellépő egészszám-túlcsordulás bizonyos feltételekkel bejelentkezés nélküli kódfuttatást tehetett lehetővé.

Ezt is joaxcar jelentette. A GitLab idézett közlése az érintett telepítések mielőbbi frissítését kéri. Az újabb javításokat az alábbi kiadások tartalmazzák; a korábbi októberi csomagok helyett már ezekre érdemes továbblépni.

A CVE-2026-110264 érintettsége a 7.0 verzióig nyúlik vissza. A korábbi kiadásoknál a javított verzióhatárokat az adott ág szerint kell figyelembe venni.

Az eredeti kiadás nem kizárólag a kritikus kódfuttatási problémát kezelte. A szintaxiskiemelés hibájával egy bejelentkezett felhasználó mások böngészős munkamenetében futtathatott JavaScript-kódot, különlegesen kialakított kódtároló segítségével.

Egy másik sebezhetőség a Developer szerepkörrel rendelkezőknek engedhetett jogosulatlan CI/CD-futtatást védett ágakon. A nyers tárolófájlok gyorsítótárazott válaszainak manipulálásával pedig elérhetővé válhattak védett környezeti változók, miközben a célzott folyamat támadói tartalmat hajthatott végre.

Az Enterprise Edition esetében az áthelyezett projektek ütemezett végrehajtási szabályai és a GitLab Duo Agent Platform is kapott biztonsági korrekciót. Utóbbinál a mesterségesintelligencia-ügynök utasításaiba illesztett tartalom okozhatott más felhasználónak tulajdonított, nem szándékolt parancsvégrehajtást.

A GitLab Pages naplóadataihoz hozzáférő, hitelesített felhasználók egy további résen keresztül hozzáférési tokeneket és más titkokat szerezhettek meg. Ezek érzékeny kérésadatokkal kerülhettek a naplófájlokba és a hibakövetési eseményekbe.

A gyártó az érintett saját üzemeltetésű telepítések azonnali frissítését javasolja. A GitLab.com már a javított változatot futtatja. Az újabb közlés szerint a GitLab Dedicated esetében a 19.3.5-internal0 és 19.4.2-internal0 vagy későbbi belső kiadások tartalmazzák a javításokat, ezeknél nincs teendő.

Az eredeti közleményhez a GitLab hat, kihasználási kísérletek észlelését segítő detektálást is közzétett a saját üzemeltetésű példányokhoz. A részletes hibajegyeket a gyártó a javítást tartalmazó kiadás után 90 nappal teszi nyilvánossá.

A CISA által megerősített aktív visszaélés nem a fenti kódfuttatási résekhez, hanem a CVE-2026-85706 azonosítójú sebezhetőséghez kapcsolódik. Ezzel egy hitelesítés nélküli támadó bizonyos feltételek mellett tetszőleges fájlokat olvashatott a GitLab szerveréről, köztük hitelesítési adatokat és más titkokat.

A CISA ezt szeptember 11-én vette fel a bizonyítottan kihasznált hibák listájára. A szeptember 14-i javítási határidő az amerikai szövetségi szerveknek szólt. A CVE-2026-97229 és a CVE-2026-110264 esetében a rendelkezésre álló adatok nem jeleznek aktív kihasználást.