GitLab labo kritisku kļūdu, kas ļauj bez pieteikšanās palaist kodu serveros

Programmatūras izstrādes platforma GitLab 21. oktobrī publicēja ārkārtas drošības labojumus kļūdai, kas noteiktos apstākļos ļauj uzbrucējam bez lietotāja konta izpildīt patvaļīgu kodu GitLab serverī. Ievainojamība reģistrēta kā CVE-2026-110264, un tai piešķirts augstākais iespējamais CVSS novērtējums – 10,0. Uzņēmums iesaka visām pašu uzturētajām instalācijām atjaunināties nekavējoties.

Problēma rodas, kad GitLab kompilē īpaši sagatavotu regulāro izteiksmi, un skaitļa pārpilde izraisa kļūdu atmiņas apstrādē. The Hacker News skaidro, ka vaina ir Ruby iebūvētajā regulāro izteiksmju dzinējā Onigmo, ko GitLab iekļauj savās pakotnēs. Tāpēc skartas visas versijas kopš 7.0, kas iznāca 2014. gadā.

Labojumi iznākuši versijās 19.5.1, 19.4.3 un 19.3.6. Izņēmuma kārtā tie pārnesti arī uz vecākām versijām 19.2.9, 19.1.9, 19.0.10 un 18.11.13, lai gan parasti GitLab atbalsta tikai jaunāko un divas iepriekšējās mēneša versijas. Mākoņpakalpojums GitLab.com jau darbojas ar laboto versiju, un GitLab Dedicated klientiem ar jaunākajām iekšējām versijām nekas nav jādara.

Šis labojums ir svarīgs arī tiem, kas serverus atjaunināja pirms nedēļas. 12. oktobrī GitLab izlaida labojumu citai kritiskai regulāro izteiksmju kļūdai CVE-2026-97229, taču versijas, kas toreiz bija drošas, jaunā ievainojamība atkal skar. Abas kļūdas caur GitLab kļūdu atlīdzības programmu HackerOne ziņoja pētnieks ar segvārdu joaxcar.

Līdz 22. oktobrim nav ziņu, ka kļūda būtu izmantota uzbrukumos, un ASV kiberdrošības aģentūras CISA aktīvi izmantoto ievainojamību katalogā tā nav iekļauta. Oficiāla pagaidu risinājuma nav. GitLab publicējis divus noteikumus uzbrukuma mēģinājumu atklāšanai žurnālos, kuru nosaukumi saistīti ar Onigmo procesu avārijām un Org mode failu attēlošanas kļūdām.

Vienā laidienā salabotas arī citas ievainojamības, piemēram, kļūda, kas noteiktās SAML un LDAP konfigurācijās ļauj pārņemt cita lietotāja kontu. Versijās 19.4.3 un 19.3.6 ir datubāzes migrācijas, tāpēc serveri ar vienu mezglu atjaunināšanas laikā kādu brīdi nedarbosies.

Labojums attiecas uz ikvienu organizāciju, kas pati uztur GitLab serveri, arī Latvijā. Plašāka informācija par ievainojamību GitLab apsola publiskot 90 dienas pēc labojuma, kā tas paredzēts uzņēmuma drošības kārtībā.