GitLab publicējis atjauninājumus, kas novērš kritisku veselā skaitļa (integer) pārpildes ievainojamību (CVE-2026-110264) GitLab Community Edition (CE) un Enterprise Edition (EE) programmatūrā. Ievainojamībai piešķirts maksimālais CVSS novērtējums 10,0.
Izmantojot speciāli izveidotu regulāro izteiksmi, neautentificēts lietotājs šo ievainojamību var izmantot, lai GitLab serverī patvaļīgi izpildītu kodu. Ievainojamība rodas, kompilējot īpaši veidotu regulāro izteiksmi, kad notiek veselā skaitļa pārpilde.
Ievainojamība ietekmē plašu versiju diapazonu — no 7.0 līdz 18.11.x (pirms 18.11.13), kā arī 19.0.x (pirms 19.0.10), 19.1.x (pirms 19.1.9), 19.2.x (pirms 19.2.9), 19.3.x (pirms 19.3.6), 19.4.x (pirms 19.4.3) un 19.5.x (pirms 19.5.1).
Papildus kritiskajai ievainojamībai publicētajos drošības atjauninājumos novērstas arī vairākas citas dažādas bīstamības pakāpes ievainojamības, tādēļ atjaunināšana ir īpaši svarīga visām GitLab instalācijām.
GitLab instance pēc iespējas ātrāk jāatjaunina uz kādu no labotajām versijām. Īpaša uzmanība jāpievērš publiski pieejamām GitLab instalācijām, jo neautentificēta koda izpilde var pilnībā kompromitēt serveri un tajā glabātos datus, tostarp pirmkodu un piekļuves informāciju.
CVE papildinformācija
CVE-2026-110264 — GitLab CE/EE ievainojamība, kas noteiktos apstākļos var ļaut neautentificētam lietotājam GitLab serverī izpildīt patvaļīgu kodu, jo, kompilējot speciāli veidotu regulāro izteiksmi, notiek veselā skaitļa pārpilde. Skartā programmatūra: GitLab CE/EE 7.0–18.11.x (pirms 18.11.13) un 19.0.x–19.5.x (pirms 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3, 19.5.1). cve.org ieraksts
Avots: cert.lv raksts · X ieraksts
