En regex-compiler blev en indgang
GitLab rettede den 12. oktober CVE-2026-97229, et heltalsoverløb med CVSS 10,0 i den compiler, der håndterer regulære udtryk i CI/CD-pipelinekonfiguration. Under visse betingelser, siger GitLabs advisory, kunne en uautoriseret bruger køre vilkårlig kode på GitLab-serveren via et specielt udformet regulært udtryk i en CI/CD-konfiguration.
Advisoryen forklarer ikke disse betingelser, og det gør ingen af de tre rapporter, vi har læst, heller ikke. En forsker med håndtaget joaxcar indberettede fejlen gennem GitLabs HackerOne-bugbountyprogram. GitLab.com kører allerede den rettede version, og GitLab Dedicated-kunder skal ikke gøre noget, men administratorer af selvdrevne instanser skal opdatere med det samme. Ifølge heise havde GitLab den 13. oktober ikke meddelt nogen angreb.
| Udgivelseslinje | Sårbar | Rettet i |
|---|---|---|
| GitLab 19.2 | Før 19.2.8 | 19.2.8 |
| GitLab 19.3 | Før 19.3.5 | 19.3.5 |
| GitLab 19.4 | Før 19.4.2 | 19.4.2 |
Tre fejl af høj alvor blev rettet i samme udgivelse. CVE-2026-92883 (8,7) er en cross-site scripting-fejl. CVE-2026-16301 (8,5) lader en bruger med Developer-rollen køre pipelines på beskyttede branches. CVE-2026-14814 (8,2) kan forgifte cachede svar og potentielt afsløre beskyttede miljøvariabler. Heise tæller fem fejl af høj alvor i alt.
Tre kritiske GitLab-fejl på få uger
CVE-2026-97229 er GitLabs tredje kritiske fejl de seneste uger, og septembers viste, hvor hurtigt angribere bevæger sig.
| CVE | CVSS | Komponent | Rapporteret konsekvens |
|---|---|---|---|
| CVE-2026-85706 | 10,0 | GitLab CE og EE | Læsning af følsomme data som adgangsoplysninger og hemmeligheder uden login, med undersøgelser inden for få timer efter offentliggørelsen og en CISA-optagelse en dag efter rettelsen |
| CVE-2026-90970 | 9,9 | AI Gateway | En autentificeret bruger med adgang til Duo Agent Platform kunne bryde ud af prompt-skabelonens sandbox og køre kommandoer |
| CVE-2026-97229 | 10,0 | CI/CD's compiler til regulære udtryk | Kodeudførelse uden login, uden rapporterede angreb den 13. oktober |
Efter septemberfejlen gav CISA amerikanske føderale myndigheder tre dage til at sikre deres systemer. Siden november 2021 har den peget på fem GitLab-fejl, der er misbrugt i angreb, og en af dem blev brugt af ransomware-bander. Den 13. oktober var der ikke rapporteret angreb mod den nye fejl, men septembers tempo er det, man bør planlægge efter.
Hvorfor en pipelineserver er værd at angribe
En CI/CD-server sidder mellem kildekode og produktion, og derfor er kodeudførelse på den mere værd for en angriber end på de fleste forretningsservere.
Den rummer typisk de hemmeligheder, pipelines skal bruge til at bygge, teste og udrulle, som adgangstokens og deploy-nøgler, og den kan ændre, hvad der leveres til kunderne. GitLab siger, at det har mere end 30 millioner registrerede brugere, og at mere end 50 procent af Fortune 100 bruger det. Selvhosting bytter bekvemmelighed for kontrol over, hvor din kode og dine data ligger, og flytter patchpligten til dig. Det kan være et bevidst valg for hold med krav om dataresidens, og det er også grunden til, at leverandørens patchdag bliver din frist.
En 72-timersplan til selvdrevne hold
Behandl det som et 72-timersjob for hver instans, der kan nås fra internettet, og start med versionstjekket.
For det første: Aflæs din installerede version og sammenlign den med 19.2.8, 19.3.5 og 19.4.2, og bekræft derefter de præcise buildnumre i GitLabs egen advisory. For det andet: Planlæg opgraderingen inden for 72 timer, og begynd med hver instans, der kan nås fra internettet. For det tredje: Begræns indtil da, hvem der kan nå serveren, og hvem der kan redigere CI/CD-konfigurationsfiler.
For det fjerde: Hvis du ikke kan udelukke eksponering, så roter de hemmeligheder, der er gemt som pipelinevariabler, når rettelsen er på plads. For det femte: Abonnér på GitLabs sikkerhedsadvisories, så den næste når et menneske samme dag. De 72 timer er vores foreslåede vindue og ikke en frist fra GitLab.
Læs videre: To linjer viser, om NetScaler-fejlen rammer dig | GitLabs Dårligst Vurderede Sårbarhed Kræver Kun Ét Offentligt Projekt
