GitLab opravuje kritické spuštění kódu bez přihlášení

Chyba ve zpracování regulárních výrazů v CI/CD má skóre CVSS 10,0. Správci vlastních instalací mají přejít na opravené verze; aktuální bulletin pro větev 19.3 uvádí verzi 19.3.5.

GitLab v bezpečnostním vydání z 12. října 2026 opravil CVE-2026-97229 v Community Edition a Enterprise Edition. Podle výrobce může neautentizovaný útočník za určitých podmínek spustit kód na samotném GitLab serveru pomocí speciálně vytvořeného regulárního výrazu v konfiguraci CI/CD. Jde o chybu při validaci výrazů v komponentě CI/CD Regular Expression Compiler, evidovanou jako celočíselné přetečení nebo překlopení hodnoty, CWE-190.

Výrobce přiřadil skóre CVSS 3.1 ve výši 10,0 s vektorem AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Hodnocení počítá se síťovým útokem bez předchozích oprávnění a bez interakce dalšího uživatele, s vysokým dopadem na důvěrnost, integritu a dostupnost. Zranitelnost je proto závažná i pro prostředí, kde vývojáři považují samotný repozitářový server za oddělený od běžného provozu aplikací.

Aktuální bulletin a záznam CVE od GitLabu uvádějí dotčené verze od 19.2 před 19.2.8, od 19.3 před 19.3.5 a od 19.4 před 19.4.2. Doporučená opravená vydání jsou tedy 19.2.8, 19.3.5 a 19.4.2 nebo novější odpovídající podporované verze. Tyto rozsahy nelze zjednodušit na tvrzení, že konkrétní chyba postihuje úplně všechny historické verze GitLabu.

U větve 19.3 je důležité pracovat s aktualizovaným podkladem. Starší upozornění zmiňovala 19.3.4. Výrobce v nynějším textu vysvětluje, že tato verze měla problém se stránkami merge requestů při zapnuté integraci Ona a že ho řeší 19.3.5. Pro aktuální plán nasazení proto dává smysl použít novější doporučení a ověřit jak bezpečnostní opravy, tak provozní dopad používaných integrací.

Balík obsahuje celkem 24 bezpečnostních oprav. Vedle kritické chyby řeší například zranitelnost CVE-2026-16301, která mohla přihlášenému uživateli s rolí Developer umožnit spouštět navazující pipeline na chráněných větvích bez odpovídajícího oprávnění. Další oprava, CVE-2026-14814, se týká podvržení obsahu v mezipaměti surových souborů repozitáře s možným dopadem na obsah spouštěný v pipeline a chráněné proměnné prostředí. Instalace balíku má proto význam i nad rámec jediné chyby s nejvyšším skóre.

GitLab.com podle výrobce již používal opravenou verzi a zákazníci GitLab Dedicated nemuseli zasahovat. Doporučení k okamžité aktualizaci je určeno především správcům vlastních zasažených instalací. Ověřené podklady k této zprávě neuvádějí potvrzené aktivní zneužívání; tuto informaci nelze dovozovat pouze z vysokého skóre nebo dostupnosti opravy.

Pro vlastní provoz je vhodné kromě kontroly verze vyhodnotit možné dopady kompromitace na zdrojové kódy, přístupové údaje CI/CD a nasazování do dalších prostředí. Aktualizaci mají doprovázet funkční kontroly a přiměřená kontrola stop podle expozice instance. Samotná instalace opravy neprokáže, že zařízení dříve napadeno nebylo; konkrétní reakce však musí vycházet z nalezených indicií, nikoli z automatického předpokladu incidentu.