Hitelesítés nélküli, távoli kódfuttatást lehetővé tevő, maximális (CVSS 10,0) pontszámú sebezhetőséget foltozott a GitLab, amely elvben minden 2014 óta kiadott, saját üzemeltetésű példányt érinthet. A hiba különösen alattomos, mert még azok az adminok sem dőlhetnek hátra, akik október 12-én már frissítettek: az akkori kiadások fölé most újabb javítócsomag érkezett, így a rendszerek ismét veszélyzónába kerülhettek. Bár jelenleg nincs bizonyíték aktív kihasználásra, a GitLab.com és a Dedicated bérlők már védettek – a saját szervert futtatóknak viszont sürgős frissítés javasolt a megfelelő verziókra.
Maximális súlyosságú, bejelentkezés nélkül kihasználható távoli kódfuttatási hibát foltozott a GitLab a CI/CD rendszerében. Egy rosszindulatú reguláris kifejezés elegendő volt ahhoz, hogy a támadó tetszőleges kódot futtasson a GitLab szerveren – ez különösen veszélyes a forráskód, a titkok és a teljes telepítési lánc szempontjából. Az érintett 19.2-es, 19.3-as és 19.4-es CE/EE verziókhoz már elérhetők a javított kiadások, a self-hostolt példányok üzemeltetőinek pedig gyakorlatilag azonnali frissítés ajánlott. A mostani incidens egy újabb komoly biztonsági figyelmeztetés a széles körben használt DevSecOps platform felhasználói számára.
