GitLab ištaisė maksimalaus pavojingumo nuotolinio kodo vykdymo spragą ir dar 23 pažeidžiamumus
Trumpai: 2026 m. spalio 12 d. GitLab išleido versijas 19.4.2, 19.3.4 ir 19.2.8, kuriomis uždaryta 24 saugumo spragos savarankiškai administruojamose CE/EE diegimo versijose. Svarbiausia – CVE-2026-97229, CVSS 10.0 pažeidžiamumas CI/CD reguliariųjų išraiškų kompiliatoriuje, kai dėl silpno išraiškų tikrinimo įvyksta sveikojo skaičiaus perpildymas, leidžiantis neautentifikuotam užpuolikui specialiai suformuota CI/CD konfigūracija paleisti kodą serveryje. CERT-EU ragina skubiai atnaujinti sistemas, pirmiausia – iš interneto pasiekiamas GitLab diegimo versijas.
Šią santrauką automatiškai parengė dirbtinis intelektas pagal „CERT-EU“ publikaciją. Tai mūsų tekstas, ne originalo kopija — faktai, skaičiai ir citatos priklauso šaltiniui, kurio nuoroda pateikta viršuje ir apačioje.
Kas pasikeitė?
- 1CVE-2026-97229 (CVSS 10.0): neautentifikuotas užpuolikas gali vykdyti kodą per sveikojo skaičiaus perpildymą CI/CD reguliariųjų išraiškų kompiliatoriuje
- 2CVE-2026-92883 (CVSS 8.7): saugomas XSS sintaksės paryškinime leidžia autentifikuotam vartotojui paleisti JavaScript kitų vartotojų naršyklėse per suformuotą repozitoriją
- 3CVE-2026-16301 (CVSS 8.5): leidimų tikrinimo klaida leidžia kūrėjui paleisti konvejerius saugomose šakose be leidimo
- 4Ištaisyta dar 21 problema, įskaitant 8.2 įvertinimo podėlio užteršimo klaidą, galinčią atskleisti saugomus CI/CD kintamuosius
- 5Pažeidžiamos versijos: savarankiškai administruojamas GitLab CE/EE iki 19.4.2, 19.3.4 ir 19.2.8
- 6Sprendimas: atnaujinti į 19.4.2, 19.3.4 arba 19.2.8
Kodėl tai svarbu?
Maksimalaus įvertinimo, neautentifikuotas RCE DevOps platformoje, kurioje saugomas kodas, paslaptys ir CI/CD konvejeriai, yra puikus taikinys automatizuotam išnaudojimui, kai tik atsiras viešas išnaudojimo įrodymas; bet kuris iš interneto pasiekiamas GitLab serveris yra tiesioginėje rizikoje.
Ką tai reiškia AI agentams ir kontaktų centrams?
Jei jūsų įmonė savarankiškai administruoja GitLab CE/EE kodo saugyklai ar CI/CD konvejeriams – įskaitant tuos, kurie kuria ar diegia balso AI agentus, SIP/Asterisk komponentus ar CRM integracijas – nedelsdami atnaujinkite į ištaisytas versijas ir patikrinkite, ar dėl podėlio užteršimo klaidos nebuvo atskleisti CI/CD slaptieji duomenys prieš atnaujinimą.
Šaltiniai
- CERT-EUOficialusPirminis šaltinisOriginalus straipsnis →„2026-016: Critical Vulnerability in GitLab CE and EE“Licencija: CC BY 4.0 (CERT-EU legal notice; Commission Decision 2011/833/EU) · mūsų santrauka (turinys pakeistas)
- Šaltinio publikavimo data
- —
- Mūsų sistema rado
- 2026-10-12 16:10
- Santrauka sugeneruota
- 2026-10-12 16:12
Straipsnį pagal originalų šaltinį parašė AI. Faktai, skaičiai ir kainos — iš šaltinio; trūkstamos reikšmės pažymėtos „Nėra oficialių duomenų“. Teisinė informacija, autorių teisės ir privatumas