12 октября GitLab выпустил исправления безопасности для Community Edition (CE) и Enterprise Edition (EE). Уязвимость CVE-2026-97229 получила максимальную оценку 10 из 10 по шкале CVSS.
Ошибка находилась в компиляторе регулярных выражений для конфигураций CI/CD. Из-за переполнения целого числа и недостаточной проверки специально подготовленное выражение при определённых условиях позволяло неавторизованному пользователю выполнить произвольный код на сервере GitLab.
Проблему обнаружил исследователь joaxcar и сообщил о ней через программу вознаграждений HackerOne.
Читайте также
Какие версии нужно обновить
Уязвимы следующие выпуски GitLab CE и EE:
- ветка 19.2 до версии 19.2.8;
- ветка 19.3 до версии 19.3.4;
- ветка 19.4 до версии 19.4.2.
Исправления вошли в версии 19.2.8, 19.3.4 и 19.4.2. GitLab рекомендует немедленно обновить все самостоятельные установки. Если способ развёртывания отдельно не указан, предупреждение относится ко всем его вариантам, включая установку из исходного кода, Omnibus и Helm Chart.
Облачный сервис GitLab.com уже обновлён. Клиентам управляемого сервиса GitLab Dedicated ничего предпринимать не нужно.
В версии 19.3.4 есть известная ошибка: при включённой интеграции Ona могут некорректно работать страницы запросов на слияние. Исправление должно выйти в 19.3.5.
Почему уязвимость опасна
По оценке GitLab, для атаки не требуются учётная запись, действия пользователя или локальный доступ. Выполнение произвольного кода может поставить под угрозу исходники, настройки сборки, секреты и доступность сервера. Подтверждений использования CVE-2026-97229 в реальных атаках в источниках нет.
Что это значит
- Проверьте версии всех самостоятельно управляемых установок GitLab CE и EE.
- Обновите затронутые системы до 19.2.8, 19.3.4, 19.4.2 или более нового исправленного выпуска поддерживаемой ветки.
- Если используется Ona, учтите возможный сбой страниц запросов на слияние в версии 19.3.4 и следите за выходом 19.3.5.