Kritikus GitLab-frissítés érkezett, azonnali telepítést kérnek

Hét GitLab-verzió kapott biztonsági javításokat

A GitLab október 21-én kiadta a 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 és 18.11.13 verziókat a Community Edition és az Enterprise Edition számára. A kiadások fontos hibajavításokat és biztonsági frissítéseket tartalmaznak.

A vállalat határozottan azt javasolja, hogy minden, saját üzemeltetésű GitLab-telepítést az érintett verziókról a megfelelő legújabb javítókiadásra frissítsenek. A GitLab.com már a javított verziót futtatja. A 19.3.5-internal0 vagy 19.4.2-internal0, illetve ezeknél újabb verziót használó GitLab Dedicated-ügyfeleknek a közlemény szerint nincs további teendőjük.

Kritikus hiba tetszőleges kódfuttatást tehetett lehetővé

A legmagasabb súlyosságú javítás a CVE-2026-110264 azonosítójú, reguláris kifejezéseket fordító komponensben talált egészszám-túlcsordulási hiba. A GitLab szerint bizonyos körülmények között egy hitelesítés nélküli támadó speciálisan kialakított reguláris kifejezéssel tetszőleges kódot futtathatott a GitLab-szerveren.

A sérülékenység CVSS-értéke 10,0. A javítást a GitLab a szokásos javítókiadások mellett a 18.11.13, 19.0.10, 19.1.9 és 19.2.9 verziókba is visszaportolta. A vállalat két fenyegetésészlelést is közzétett a saját üzemeltetésű példányok számára, amelyek a lehetséges kihasználási kísérletek felismerését támogatják.

A közlemény szerint a hiba a 7.0-s verziótól kezdve minden olyan kiadást érintett, amely a 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 vagy 19.5.1 előtti verzió volt.

További hibák a hitelesítéstől az AI-funkciókig

A frissítés egy magas súlyosságú hibát is kezel az OmniAuth és LDAP összekapcsolásában. Ha egyszerre volt engedélyezve a SAML-alapú OmniAuth és az LDAP automatikus összekapcsolása, egy hitelesített felhasználó átvehetett egy meglévő, LDAP-hoz kötött fiókot. Egy másik magas besorolású hiba lehetővé tehette egy megosztott OAuth- vagy OIDC-gyorsítótár mérgezését, így bizonyos folyamatok külső szerverre irányíthattak.

A javított problémák között szerepel továbbá GraphQL-hozzáférési hiba, az instance-wide SAML- és LDAP-tagsági zárolás hiányos kikényszerítése, belső hitelesítő adatok kiszivárgása a válaszfejlécekben, valamint jogosultság-ellenőrzési hiba a csoportmérföldkövek API-jában. A GitLab EE esetében egy olyan hibát is javítottak, amely bizonyos feltételek mellett előfizetés nélküli hozzáférést tehetett lehetővé a fizetős AI-funkciókhoz.

A saját üzemeltetésű rendszerek gazdáinak most kell lépniük

A GitLab a javításokat kétféle kiadásban teszi közzé: a hónap második és negyedik szerdáján érkező ütemezett frissítésekben, illetve magas súlyosságú sérülékenységek esetén soron kívüli kritikus kiadásokban. A mostani közlemény a sérülékenységek által érintett telepítések mielőbbi frissítését kéri.

A biztonsági hibák részletes leírását a GitLab a javítást tartalmazó kiadás után 90 nappal teszi közzé a nyilvános hibakövetőben. Ez a gyakorlat a vállalat szerint a biztonsági karbantartást és a támogatott verziók naprakészen tartását szolgálja.