Ez az oldal a közösségért készül. 
Kövess minket máshol is: 
Ha hasznosnak találod, és szeretnéd, hogy folytatódjon, támogasd a munkát 
A GitLab október 21-én adta ki a javításokat egy olyan hibára, amely lehetővé teszi, hogy egy támadó hitelesítés nélkül futtasson kódot egy saját üzemeltetésű szerveren, és a szoftver minden 7.0-s, 2014-ben megjelent kiadás óta érintett verzióját érinti.
A javítás azoknak az adminisztrátoroknak is fontos, akik már kilenc nappal korábban frissítettek: az október 12-i frissítés csak a 19.2-es és újabb verziókra vonatkozott, az új, javított verziók pedig egy javítócsomaggal ezek fölött vannak, így a korábban frissített példányok ismét érintett tartományba kerültek.
A hibát CVE-2026-110264 azonosítóval tartják nyilván, és a CVSS skálán 10,0-s, azaz maximális értékelést kapott. A GitLab szerint bizonyos feltételek mellett lehetővé teheti, hogy egy nem hitelesített felhasználó tetszőleges kódot futtasson a szerveren, egy speciálisan összeállított reguláris kifejezés fordítása közben bekövetkező egészszám-túlcsordulás miatt.
A GitLab nem részletezte, mik ezek a feltételek. A cég szerint egyelőre nincs jel arra, hogy a hibát támadásokban kihasználták volna, és október 22-ig nem szerepel az amerikai CISA ismert, aktívan kihasznált sebezhetőségeket listázó katalógusában sem.
Csak a saját üzemeltetésű telepítéseknél kell lépni. A GitLab.com már a javított verziót futtatja, és a GitLab Dedicated bérlők is megkapták a javítást, ha a 19.3.5-internal0, 19.4.2-internal0 vagy ezeknél újabb belső kiadásokat használják.
A GitLab egyszerre hét verzióban javította a hibát.
Az alábbi táblázat azt mutatja, hogy az egyes kiadási ágakhoz melyik javított verzió tartozik.
| Jelenlegi verzió | Frissítés szükséges erre a verzióra |
|---|---|
| 19.5 előtti verziók | 19.5.1 |
| 19.4.3 előtti 19.4-es verziók | 19.4.3 |
| 19.3.6 előtti 19.3-as verziók | 19.3.6 |
| 19.2.9 előtti 19.2-es verziók | 19.2.9 |
| 19.1.9 előtti 19.1-es verziók | 19.1.9 |
| 19.0.10 előtti 19.0-s verziók | 19.0.10 |
| 7.0–18.11.12 közötti verziók | 18.11.13 |
A hét verzióból négy olyan régi, hogy a GitLab normál esetben már nem adna ki hozzá javítást. A cég szabályzata szerint csak az aktuális és az azt megelőző két havi kiadást támogatja, amelyek jelenleg a 19.5, 19.4 és 19.3.
A GitLab közölte, hogy a szokásos kiadásokon felül visszaportolta a javítást a 18.11.13, 19.0.10, 19.1.9 és 19.2.9 verziókba is, ilyet csak súlyos problémák esetén tesz.
Azért érinti a hiba a szoftver ilyen régi verzióit is, mert egy mélyebb komponensben csúszott hiba. A reguláris kifejezések fordításáért a Ruby beépített motorja, az Onigmo felel, amelyet a GitLab a saját csomagjaiban szállít, és a saját buildjeiben javít. A motor gyengesége minden olyan GitLab kiadásban jelen van, amely ezt a komponenst tartalmazza, vagyis minden 7.0 óta megjelent verzióban.
A GitLab két detekciós szabályt is közzétett, hogy a saját üzemeltetésű adminisztrátorok ellenőrizhessék, történt-e kihasználási kísérlet. Ezek neve „Onigmo native worker crash” és „Org mode render error burst”. A szabályok a cég nyílt forráskódú TLDR framework részét képezik, amely minden detekciót Sigma formátumban ír le, a GitLab saját alkalmazásnaplói ellen.
A GitLab nem közölte, milyen előfeltételek kellenek ahhoz, hogy egy támadó elérje a fordítót, ezért az adminisztrátorok egyelőre nem tudják pusztán a konfiguráció alapján kizárni magukat. A javítás az egyetlen biztos védelem, a GitLab figyelmeztetése pedig nem kínál átmeneti kerülőmegoldást.
Ez már a negyedik kódfuttatási hiba a GitLab reguláris kifejezés-motorjában, amelyet ugyanaz a kutató, a „joaxcar” néven ismert biztonsági szakember jelentett egy hónapon belül, és az első, amely a 19.2 előtti verziókat is érinti.
Október 12-én a GitLab a 19.2.8, 19.3.5 és 19.4.2 verziókban javította a CVE-2026-97229 sebezhetőséget, amely szintén hitelesítés nélküli, 10,0-s túlcsordulás a regex fordítóban. Szeptember 23-án további két hibát javítottak, a CVE-2026-93577 és a CVE-2026-89078 sebezhetőségeket, amelyeket 9,9-es súlyosságúra értékeltek, de bejelentkezett fiókot igényelnek a kihasználásukhoz. A korábbi három hiba csak a 19.2-es verzióig volt jelen; ez a mostani nem áll meg ott.
Az október 21-i kiadás összesen 11 biztonsági problémát javít, egy kritikusat, a többit pedig magas, közepes vagy alacsony súlyosságúként sorolták be.
A többi közül kettő azonosítással kapcsolatos. A CVE-2026-15723, amelyet 8,2-es, magas súlyosságúra értékeltek, lehetővé teheti, hogy egy bejelentkezett felhasználó átvegye egy másik fiók felett az irányítást, de csak akkor, ha az adminisztrátor egyszerre engedélyezte a SAML és az LDAP automatikus összekapcsolását.
A GitLab OAuth és OpenID Connect végpontjait érintő, gyorsítótár-mérgezésre épülő hiba, a CVE-2026-112212, amelynek súlyossága 7,5 (magas), lehetővé teheti, hogy egy támadó bizonyos bejelentkezési folyamatokat egy általa vezérelt szerverre irányítson át olyan környezetekben, ahol megosztott gyorsítótárat használnak.
A verziófrissítésnek van olyan vonzata is, amire érdemes előre készülni. A 19.4.3 és 19.3.6 kiadások adatbázis-változtatásokat tartalmaznak, amelyek a verziófrissítés során futnak le, és egypontos szervernél ez leállást jelent, amíg be nem fejeződnek. A GitLab szerint a többcsomópontos telepítések a saját zero-downtime eljárásukkal leállás nélkül is telepíthetik a javítócsomagot.
