A GitLab maximális súlyosságú távoli kódfuttatási hibát javított a CI/CD rendszerében. A hiba lehetővé tette, hogy egy be nem jelentkezett támadó egy speciálisan megformált kifejezéssel tetszőleges kódot futtasson a GitLab kiszolgálón.
A hiba azonosítója CVE-2026-97229. A GitLab CI/CD rendszerének Regular Expression Compiler nevű részében keletkezett, amely a projektek CI/CD konfigurációs fájljaiban szereplő reguláris kifejezéseket dolgozza fel, fordítja és értékeli ki. A hiba oka egy egész szám túlcsordulás volt (integer overflow). A gyakorlatban ez azt jelenti, hogy egy rosszindulatú reguláris kifejezés, amelyet a projekt CI/CD konfigurációjába írnak, a GitLab-kiszolgálón tetszőleges kódot futtathat. A hiba különösen veszélyes, mert a támadónak nem kell bejelentkeznie.
A hiba a GitLab Community Edition (CE) és Enterprise Edition (EE) 19.2-es, 19.3-as és 19.4-es verzióit érinti. A javítás a 19.2.8, 19.3.4 és 19.4.2 verziókban érhető el. A GitLab.com már a javított verziót futtatja, a GitLab Dedicated ügyfeleknek nem kell semmit tenniük. A saját szerveren futó, self-managed GitLab példányok esetében viszont azonnali frissítés szükséges.
A GitLab DevSecOps platformját több mint 30 millió regisztrált felhasználó és a Fortune 100 vállalatok több mint fele használja, köztük az Nvidia, a T-Mobile, a Lockheed Martin, az Airbus és a Goldman Sachs. Egy GitLab kiszolgáló feltörése ezért nemcsak a kódtárat érinti, hanem a hozzá tartozó CI/CD folyamatokat, titkokat és telepítési láncokat is.
Ez nem az első komoly GitLab hiba az elmúlt hónapokban. Januárban a GitLab egy magas súlyosságú, kétfaktoros hitelesítést megkerülő hibát javított, amely lehetővé tette, hogy egy támadó, aki ismeri a célpont fiókazonosítóját, megkerülje a kétfaktoros hitelesítést.
Múlt hónapban egy másik maximális súlyosságú hibát javítottak (CVE-2026-85706), amely lehetővé tette, hogy be nem jelentkezett támadók hitelesítő adatokat és más titkokat olvassanak ki a sebezhető kiszolgálókról. Egy nappal később az amerikai CISA ezt a hibát felvette a kihasznált sebezhetőségek katalógusába, és három napon belül kötelezte a szövetségi szerveket a rendszereik biztosítására. A CISA 2021 novembere óta öt GitLab hibát jelölt meg támadásokban kihasználtként, ebből egyet zsarolóvírus csoportok is használtak.
A sérülékenység jellegéből adódóan javasolt a CI/CD-konfigurációk felülvizsgálata is, különös tekintettel a reguláris kifejezéseket alkalmazó beállításokra, valamint az esetlegesen előforduló gyanús minták azonosítására. A frissítés mellett a szokásos higiénia is fontos: a CI/CD titkok kezelése, a hozzáférés-ellenőrzés és a naplók figyelése.