GitLab ir izlaidis drošības atjauninājumus Community Edition un Enterprise Edition instalācijām, lai novērstu kritisku ievainojamību, kas identificēta kā CVE-2026-97229. Problēmai piešķirts maksimālais CVSS novērtējums 10,0, tādēļ organizācijām, kas pašas uztur GitLab serverus, atjaunināšana jāveic nekavējoties. Ievainojamība saistīta ar veselā skaitļa pārpildi un var ietekmēt gan programmatūras drošību, gan visu tajā glabāto projektu un izstrādes procesu konfidencialitāti.
Drošības nepilnība rodas nepietiekamas regulāro izteiksmju pārbaudes dēļ. Īpaši izveidota regulārā izteiksme CI/CD konfigurācijā var ļaut neautentificētam uzbrucējam izraisīt patvaļīga koda izpildi GitLab serverī. Tas nozīmē, ka uzbrukumam nav obligāti nepieciešams derīgs lietotāja konts. Veiksmīgas izmantošanas gadījumā apdraudēta var būt pati GitLab instance, tās konfigurācija, repozitoriji, automatizācijas mainīgie un citi dati, kuriem servera process spēj piekļūt.
Ietekmētas ir GitLab versijas trīs aktuālajos laidienu zaros: visas 19.2 versijas pirms 19.2.8, visas 19.3 versijas pirms 19.3.5 un visas 19.4 versijas pirms 19.4.2. Labojumi pieejami attiecīgi versijās 19.2.8, 19.3.5 un 19.4.2. Administratoriem nevajadzētu paļauties tikai uz perimetra aizsardzību, jo ievainojamība skar lietojumprogrammas apstrādāto CI/CD konfigurāciju un tai ir īpaši augsts riska novērtējums.
Vispirms jāpārbauda katras pašuzturētas GitLab instances precīzā versija un jāizveido konfigurācijas un svarīgo datu rezerves kopija atbilstoši organizācijas atjaunošanas kārtībai. Pēc tam instance jāatjaunina uz jaunāko atbalstīto laboto versiju, ievērojot GitLab publicēto jaunināšanas ceļu. Pēc atjaunināšanas ieteicams pārbaudīt pakalpojuma darbību, CI/CD uzdevumus un sistēmas žurnālus, kā arī pievērst uzmanību neparastām konfigurācijas izmaiņām vai procesiem.
Komandām, kuras nevar veikt atjaunināšanu nekavējoties, jāierobežo instances sasniedzamība un īpaši rūpīgi jāuzrauga darbības žurnāli, tomēr šie pasākumi neaizstāj drošības labojuma uzstādīšanu. Ņemot vērā, ka problēmu iespējams izmantot bez autentifikācijas un tās sekas var ietvert koda izpildi serverī, labotās GitLab versijas ieviešanai jāpiešķir augstākā prioritāte. Vienlaikus jāapzina arī testa, izstrādes un rezerves instances, kuras ikdienas inventarizācijā mēdz palikt nepamanītas.
CVE papildinformācija
CVE-2026-97229 — GitLab Community Edition un Enterprise Edition ievainojamība, kas saistīta ar veselā skaitļa pārpildi un īpaši izveidotas regulārās izteiksmes apstrādi CI/CD konfigurācijā. CVE ieraksts: https://www.cve.org/CVERecord?id=CVE-2026-97229.
Avots: cert.lv raksts · X ieraksts
