GitLab administratoriem jāņem vērā svarīga nianse kritiskās ievainojamības CVE-2026-97229 novēršanā: ar GitLab atjaunināšanu vien var nepietikt. Ja instance izmanto GitLab oficiāli komplektēto Ruby pakotni, labotie GitLab laidieni ietver nepieciešamo aizsardzību. Savukārt vidēs, kur Ruby tiek kompilēts no pirmkoda, piegādāts ar operētājsistēmu vai uzturēts citā veidā, atsevišķi jāatjaunina arī Ruby.
Drošās Ruby versijas ir 3.3.13, 3.4.12, 4.0.9 vai jaunākas attiecīgās versiju līnijas pakotnes. Problēma ir saistīta ar regulāro izteiksmju apstrādi, tādēļ risks neaprobežojas tikai ar GitLab. Arī citās lietotnēs, kuras ar ievainojamu Ruby versiju apstrādā lietotāju iesniegtas vai citādi neuzticamas regulārās izteiksmes, administratoriem jāpārbauda izpildvides versija un atjauninājumu pieejamība.
GitLab CE un EE pusē ievainojamas ir 19.2 versijas pirms 19.2.8, 19.3 versijas pirms 19.3.5 un 19.4 versijas pirms 19.4.2. Labotie GitLab laidieni ir 19.2.8, 19.3.5 un 19.4.2. Nepietiekamas regulāro izteiksmju pārbaudes dēļ īpaši sagatavota izteiksme CI/CD konfigurācijā noteiktos apstākļos varētu ļaut neautentificētam uzbrucējam izpildīt patvaļīgu kodu uz GitLab servera. Ievainojamībai piešķirts maksimālais CVSS vērtējums 10,0, tādēļ atjaunināšana jāveic steidzami.
Pirms izmaiņām ieteicams inventarizēt visas GitLab instances un noskaidrot, no kurienes katra saņem Ruby izpildvidi. Jāpārbauda ne tikai komanda, kas atgriež Ruby versiju, bet arī tas, kuru bināro failu un bibliotēkas izmanto pats GitLab serviss. Pēc atjaunināšanas jārestartē attiecīgie servisi, jāpārbauda CI/CD darbu izpilde un jāuzrauga žurnāli. Ja infrastruktūrā ir konteineri vai pašu veidoti attēli, tie jāpārbūvē no atjauninātas bāzes, nevis tikai jāpārstartē.
Atjaunināšanas plānā jāiekļauj arī atkopšanas iespēja. Pirms izmaiņām jāizveido pārbaudīta GitLab konfigurācijas, datubāzes un repozitoriju rezerves kopija, bet pēc tam jāapstiprina, ka darbojas autentifikācija, repozitoriju piekļuve, fonā izpildāmie uzdevumi un runneru savienojumi. Ja organizācija izmanto augstas pieejamības arhitektūru, Ruby un GitLab versijām jābūt saskaņotām visos mezglos. Nevienmērīga atjaunināšana var radīt grūti diagnosticējamas kļūdas arī tad, ja pati ievainojamība vienā serverī jau ir novērsta.
Drošības komandai ieteicams pārskatīt notikumus laikā pirms ielāpa uzstādīšanas. Jāmeklē neparastas CI/CD konfigurācijas izmaiņas, nepazīstamu procesu palaišana, aizdomīgi savienojumi un neatļautas kontu vai piekļuves atslēgu izmaiņas. Atjauninājums novērš turpmāku ievainojamības izmantošanu, taču pats par sevi neatklāj un neiztīra jau kompromitētu sistēmu. Ja redzamas ielaušanās pazīmes, jāaktivizē incidentu vadības process un jāmaina potenciāli skartie noslēpumi.
Organizācijām būtu jāpaplašina pārbaude arī uz citām Ruby lietotnēm, kur regulārās izteiksmes var ietekmēt ārēji lietotāji. Programmatūras sastāva uzskaite un automatizēta atkarību pārbaude palīdzēs atrast gadījumus, kuros GitLab ielāps ir uzlikts, bet sistēmā joprojām darbojas ievainojama Ruby pakotne. Līdz pilnīgai atjaunināšanai jāierobežo nepazīstamu lietotāju iespējas iesniegt CI/CD konfigurācijas un rūpīgi jāuzrauga aizdomīgas darbības.
CVE papildinformācija
CVE-2026-97229 skar GitLab Community Edition un Enterprise Edition 19.2, 19.3 un 19.4 versiju līnijas līdz attiecīgi 19.2.8, 19.3.5 un 19.4.2. Nepietiekama regulāro izteiksmju validācija noteiktos apstākļos var ļaut neautentificētam lietotājam ar īpaši izveidotu CI/CD regulāro izteiksmi panākt patvaļīga koda izpildi GitLab serverī.
Avots: cert.lv raksts · X ieraksts
