GitLab закрыла уязвимость с оценкой 10 из 10 в системе CI/CD
Администраторам собственных серверов GitLab рекомендуют срочно установить исправление для уязвимости GitLab в системе CI/CD, которая при определённых условиях позволяет выполнить произвольный код без входа в систему.
GitLab выпустила обновления для редакций Community Edition и Enterprise Edition 12 октября. Проблема затрагивает обработку регулярных выражений в конфигурации CI/CD.
Уязвимость CVE-2026-97229 получила максимальную оценку по шкале CVSS: 10 из 10. Ошибка связана с целочисленным переполнением в компиляторе регулярных выражений CI/CD. По описанию GitLab, недостаточная проверка выражений могла при определённых условиях дать пользователю без авторизации возможность выполнить код на сервере. Для этого требовалось специально составленное регулярное выражение в конфигурации CI/CD.
Исправления вошли в GitLab CE и EE версий 19.2.8, 19.3.5 и 19.4.2. Уязвимы выпуски ветки 19.2 до 19.2.8, ветки 19.3 до 19.3.5 и ветки 19.4 до 19.4.2. Компания настоятельно рекомендует обновить затронутые самостоятельные установки как можно скорее. Когда GitLab не выделяет отдельный способ развёртывания в описании проблемы, предупреждение относится ко всем способам установки.
Исправление уязвимости GitLab и проверка серверов
GitLab опубликовала шесть средств обнаружения попыток эксплуатации CVE-2026-97229 для клиентов, которые управляют своими серверами. В их названиях упоминаются сбои рабочего процесса Onigmo, враждебные регулярные выражения в GraphQL и CI, отклонение выражений защитной проверкой, а также сбои и серии клиентских ошибок при проверке конфигурации CI. Компания представила их как помощь в поиске подозрительной активности, отдельно от обновлений, которые устраняют саму уязвимость.
Облачный сервис GitLab.com уже работает на исправленной версии. Для всех клиентов GitLab Dedicated обновление установили через внутренний выпуск ещё до публикации пакета исправлений. Об ошибке сообщил исследователь под псевдонимом joaxcar через программу поиска уязвимостей GitLab на платформе HackerOne.
При планировании обновления администраторам нужно учесть миграции базы данных, включённые в выпуск. На сервере с одним узлом они приведут к простою: GitLab сможет запуститься только после завершения миграций. Для установки с несколькими узлами компания допускает обновление без простоя при соблюдении соответствующей процедуры. Версия 19.3.5 также содержит миграции, которые могут выполняться после обновления.
В тот же выпуск вошли исправления других ошибок безопасности и обычных сбоев, но рекомендация обновить затронутые серверы относится и к CVE-2026-97229. Для администраторов выбор исправленной версии зависит от используемой ветки: 19.2.8, 19.3.5 или 19.4.2. GitLab сообщает, что подробные записи о закрытых уязвимостях в её системе отслеживания задач становятся общедоступными через 90 дней после выхода исправлений.
