GitLab только что устранил уязвимость максимальной степени критичности, которая могла позволить неаутентифицированным злоумышленникам выполнять произвольный код на своих серверах. Компания выпустила исправление в понедельник, а также исправления для пяти других уязвимостей высокой степени критичности, затрагивающих ее платформу управления исходным кодом и непрерывной интеграции и доставки (CI/CD).
Уязвимость, отслеживаемая как CVE-2026-97229, была исправлена в версиях 19.4.2, 19.3.5 и 19.2.8 своих Community Edition (CE) и Enterprise Edition (EE), согласно консультативному уведомлению об исправлении.
Компания настоятельно рекомендовала администраторам самостоятельно управляемых установок, использующих затронутые версии, немедленно обновиться. GitLab.com уже работает на исправленной версии, а клиентам GitLab Dedicated принимать меры не требуется, говорится в уведомлении компании.
Релиз также устраняет уязвимости, которые могли раскрыть защищенные переменные среды, разрешить несанкционированное выполнение конвейеров и позволить злоумышленникам внедрять специально созданный контент в инструкции агентов ИИ. Исправления охватывают как CE, так и EE, причем некоторые проблемы затрагивают только Enterprise Edition.
«Когда не указан конкретный тип развертывания (omnibus, исходный код, Helm chart и т. д.) продукта, это означает, что затронуты все типы», — добавили в GitLab.
Критическая ошибка в регулярных выражениях могла привести к выполнению кода без аутентификации
GitLab описал CVE-2026-97229 как проблему целочисленного переполнения в компиляторе регулярных выражений CI/CD платформы. При определенных условиях недостаточная проверка регулярных выражений могла позволить неаутентифицированному злоумышленнику выполнить произвольный код на сервере GitLab, предоставив специально созданное регулярное выражение в конфигурации CI/CD.
Уязвимость затрагивает версии GitLab CE и EE с 19.2 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2. Она имеет максимальный балл CVSS 10.0 за потенциальное удаленное выполнение кода без аутентификации, с последствиями для конфиденциальности, целостности и доступности в различных границах безопасности.
GitLab выразил благодарность исследователю Юхану Карлссону за сообщение об уязвимости через свою программу вознаграждений за обнаружение ошибок HackerOne.
Разрешения конвейеров и агенты ИИ под прицелом
Среди пяти уязвимостей высокой степени критичности CVE-2026-92883 могла позволить аутентифицированному пользователю выполнить произвольный JavaScript в сеансах браузера других пользователей через специально созданный репозиторий. Уязвимость межсайтового скриптинга возникла из-за неправильной очистки HTML-атрибутов в выходных данных с подсветкой синтаксиса и имеет балл CVSS 8.7.
Еще две уязвимости нацелены на безопасность конвейеров. CVE-2026-16301 (CVSS 8.5) могла позволить пользователям с ролью разработчика выполнять конвейеры CI/CD на защищенных ветвях без авторизации. CVE-2026-14814 (CVSS 8.2) потенциально позволяла злоумышленникам отравлять кэшированные ответы для необработанных файлов репозитория, что могло привести к выполнению вредоносного контента в целевых конвейерах и доступу к защищенным переменным среды.
Оставшиеся проблемы затрагивают запланированное выполнение конвейеров и GitLab Duo. CVE-2026-81839 (CVSS 7.7) могла позволить аутентифицированным пользователям запускать произвольные конвейеры в переданном проекте с привилегиями новой группы. Другая, CVE-2026-96893 (CVSS 7.3), могла позволить аутентифицированному пользователю внедрять специально созданный контент в инструкции агентов ИИ, что потенциально могло привести к выполнению непреднамеренных команд от имени других пользователей.
GitLab заявил, что планирует опубликовать сведения об уязвимостях через 90 дней после выпуска, в котором они были исправлены. Поэтому администраторам следует в первую очередь установить применимые обновления безопасности, а не ждать дальнейшего технического раскрытия. Релиз также исправляет несколько уязвимостей низкой и средней степени критичности, затрагивающих GitLab Pages, проксирование Kubernetes, GraphQL API, запросы на слияние, настраиваемые роли, реестр пакетов, а также функции импорта репозиториев и проектов.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
