На платформе выявілі небяспечную ўразлівасць, якая дазваляе зламыснікам выдалена выконваць код на серверах без аўтарызацыі. Праблема закранае версіі праграмы, выпушчаныя за апошнія 12 гадоў, а яе крытычнасць ацанілі ў максімальныя 10 балаў.
На платформе выявілі небяспечную ўразлівасць, якая дазваляе зламыснікам выдалена выконваць код на серверах без аўтарызацыі. Праблема закранае версіі праграмы, выпушчаныя за апошнія 12 гадоў, а яе крытычнасць ацанілі ў максімальныя 10 балаў.
Уразлівасць CVE-2026-110264 прысутнічае ў GitLab пачынаючы з версіі 7.0, выпушчанай яшчэ ў чэрвені 2014 года. Яна закранае як бясплатную Community Edition, так і камерцыйную Enterprise Edition.
Памылка звязана з апрацоўкай рэгулярных выразаў — шаблонаў, якія праграма выкарыстоўвае для пошуку тэксту. Пры пэўных умовах зламыснік можа адправіць спецыяльна падрыхтаваны запыт і прымусіць сервер выканаць чужы код. Для гэтага яму нават не трэба ўваходзіць у GitLab.
Гэта асабліва небяспечна для кампаній, якія захоўваюць у GitLab зыходны код сваіх прадуктаў, налады зборкі і разгортвання дадаткаў, паролі і токены доступу. Узлом сервера можа дазволіць выкрасці гэтыя дадзеныя, змяніць код праектаў або атрымаць доступ да іншых сістэм кампаніі.
Уразлівасць выявіў даследчык Ёхан Карлсан, які паведаміў пра яе праз праграму ўзнагароджання HackerOne. 21 кастрычніка GitLab выпусціла выпраўленні для версій 19.5.1, 19.4.3, 19.3.6 і некалькіх больш ранніх ветак. Кампанія заклікае як мага хутчэй наладзіць абнаўленні.
Праблема датычыць арганізацый, якія самастойна размяшчаюць GitLab на ўласных серверах. Воблачныя сервісы GitLab.com і GitLab Dedicated ужо абаронены. На момант публікацыі навіны пра выпадкі выкарыстання гэтай уразлівасці ў рэальных атаках не паведамлялася.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.