Kritikus biztonsági javításokat adott ki a GitLab

Kritikus javítócsomag érkezett

A GitLab október 12-én tette közzé a Community Edition és Enterprise Edition kiadásaihoz készült 19.4.2, 19.3.4 és 19.2.8 verziókat. A frissítések több biztonsági problémát kezelnek, köztük egy kritikus besorolású sérülékenységet is.

A GitLab közlése szerint minden olyan saját üzemeltetésű telepítést azonnal frissíteni kell, amely érintett verziót futtat. A GitLab.com már a javított verziót használja, a GitLab Dedicated ügyfeleinek pedig nincs teendőjük.

A vállalat javítókiadásai két kategóriába tartoznak. Az ütemezett kiadások havonta kétszer, a hónap második és negyedik szerdáján jelennek meg, míg az ad hoc kritikus kiadásokat a magas súlyosságú sérülékenységek miatt teszik közzé.

A legsúlyosabb hiba távoli kódfuttatást tehetett lehetővé

A CVE-2026-97229 azonosítójú hiba a CI/CD reguláriskifejezés-fordítóját érinti. A GitLab szerint bizonyos körülmények között egy hitelesítés nélküli támadó speciálisan kialakított reguláris kifejezéssel tetszőleges kódot futtathatott a GitLab szerverén. A problémát a CI/CD-konfigurációk nem megfelelő reguláris kifejezés-ellenőrzése okozta.

A sérülékenység CVSS-értéke 10,0. Az érintett tartományok a 19.2.8 előtti 19.2-es, a 19.3.4 előtti 19.3-as és a 19.4.2 előtti 19.4-es verziók. A hibát a GitLab a HackerOne hibavadászprogramján keresztül, joaxcar bejelentése alapján javította.

A vállalat egy magas súlyosságú, CVE-2026-92883 azonosítójú, keresztoldali parancsfuttatási hibát is megszüntetett a szintaxiskiemelésben. Ez bizonyos esetekben lehetővé tehette, hogy egy hitelesített felhasználó speciálisan kialakított adattárral tetszőleges JavaScriptet futtasson más felhasználók böngésző-munkameneteinek környezetében. Ennek CVSS-értéke 8,7.

További jogosultsági és AI-biztonsági hibák

A javítások több, magas vagy közepes besorolású jogosultságkezelési problémát is érintenek. A downstream pipeline-ok létrehozásának hibája egy Developer szerepkörű, hitelesített felhasználónak lehetőséget adhatott arra, hogy jogosulatlanul CI/CD-folyamatokat futtasson védett ágakon. Egy másik hiba a tárolófájlokhoz kapcsolódó gyorsítótárazott válaszok mérgezését tehette lehetővé, ami speciálisan kialakított tartalom futtatásához és védett környezeti változók esetleges kiszivárgásához vezethetett.

A GitLab Enterprise Edition kiadását érintő sérülékenységek között szerepel egy olyan probléma is, amely egy áthelyezett projektben tetszőleges CI/CD-folyamatok futtatását tehette lehetővé az új csoport jogosultságaival.

A GitLab Duo Agent Platform esetében egy bemenetkezelési hibát javítottak. A vállalat leírása szerint ez bizonyos körülmények között lehetővé tehette, hogy egy hitelesített felhasználó speciálisan kialakított tartalmat juttasson be az AI-ügynök utasításaiba, ami más felhasználókhoz rendelt, nem szándékos parancsvégrehajtást okozhatott.

A kiadások további hibákat javítanak a GitLab Pages naplóiban, a Kubernetes-proxyban, a GraphQL-felületeken, a csomagtárban, a projektimportálásban, a merge requestekben, az egyéni szerepkörökben és a projekt CI/CD-beállításaiban.

Mit kell tenniük az üzemeltetőknek?

A GitLab azt javasolja, hogy minden ügyfél a támogatott verziójához elérhető legújabb javítókiadásra frissítsen. A most közzétett verziók közül az érintett telepítésnek a 19.4.2, 19.3.4 vagy 19.2.8 kiadást kell választania.

Fontos ismert probléma, hogy a 19.3.4 hibát tartalmazhat a merge request oldalak megjelenítésében, ha engedélyezve van az Ona-integráció. A GitLab közlése szerint erre a hibára a 19.3.5 verzióban érkezik javítás.

A vállalat a biztonsági hibák részleteit a javítást tartalmazó kiadás után 90 nappal teszi nyilvánossá a hibakövető rendszerében. A mostani közlemény alapján ezért a saját GitLab-példányokat üzemeltető szervezetek számára az azonnali frissítés a legfontosabb teendő.