GitLab выпустил экстренные патчи: максимальная уязвимость позволяет удалённо исполнять код на сервере — без авторизации.
Команда платформы для совместной разработки GitLab выкатила корректирующие обновления — версии 19.4.2, 19.3.4 и 19.2.8. В общей сложности разработчики закрыли 24 уязвимости. Самая критичная из них получила идентификатор CVE-2026-97229, и ей присвоили максимальный уровень опасности — 10 из 10.
Суть проблемы — целочисленное переполнение в коде, отвечающем за компиляцию регулярных выражений. Эксплуатировать дыру может даже неаутентифицированный пользователь: достаточно подсунуть специальным образом составленное регулярное выражение в конфигурацию CI/CD. Успешная атака открывает путь к удалённому выполнению произвольного кода на сервере.
Публично раскрывать детали уязвимости пока не стали — техническое описание появится только через 30 дней после выхода исправления. Любопытная деталь: незадолго до этого похожую брешь закрыли в библиотеке libpcre2, однако там причина была иной — не целочисленное переполнение.
Информацию о находке передали в GitLab в рамках программы вознаграждений за обнаружение уязвимостей на платформе HackerOne. Всем пользователям GitLab настоятельно советуют не откладывать установку обновлённых версий — медлить в этой ситуации действительно опасно.
Исходная новость опубликована на OpenNet (https://opennet.ru/66453-gitlab) под лицензией CC BY 3.0.
Загрузка...
