GitLab закликав терміново усунути критичну вразливість виконання коду
GitLab випустив виправлення для CVE-2026-97229, що може дозволити віддалене виконання коду на вразливих серверах.
GitLab закликав адміністраторів самостійно керованих інсталяцій негайно оновити системи через вразливість максимальної критичності CVE-2026-97229. Вона за певних умов може дозволити неавтентифікованому віддаленому зловмиснику виконати довільний код на сервері GitLab за допомогою спеціально сформованого регулярного виразу в конфігурації CI/CD, повідомляє BBC News.
Помилка в компіляторі регулярних виразів
Проблему виявили в CI/CD Regular Expression Compiler — компоненті, який аналізує, компілює та обробляє регулярні вирази у файлах конфігурації конвеєрів проєктів. За даними GitLab, причиною є переповнення цілого числа та недостатня перевірка регулярних виразів. Вразливість знайшов дослідник безпеки, який використовує псевдонім joaxcar, і повідомив про неї через програму винагород HackerOne.
Які версії слід оновити
Компанія випустила виправлення для редакцій GitLab Community Edition та Enterprise Edition. Оновлення необхідне для версій гілки 19.2, випущених до 19.2.8, гілки 19.3 до 19.3.4 та гілки 19.4 до 19.4.2. GitLab рекомендує всім користувачам самостійно керованих інсталяцій перейти на одну із цих версій негайно.
Сервіс GitLab.com уже працює з виправленням, а клієнтам GitLab Dedicated не потрібно виконувати додаткових дій. CVE-2026-97229 стала черговою з кількох уразливостей GitLab, усунених останніми місяцями. У вересні компанія також виправила іншу вразливість максимальної критичності CVE-2026-85706, що давала змогу неавтентифікованим зловмисникам читати конфіденційні дані, зокрема облікові дані та інші секрети, на вразливих серверах.
