GitLab кодты қашықтан іске қосатын осалдықты жапты

GitLab әзірлеу платформасындағы қауіптілігі ең жоғары деңгейдегі осалдықты түзетті. CVE-2026-97229 қатесі белгілі бір жағдайда шабуылдаушыға авторизациясыз GitLab серверінде кез келген кодты орындауға мүмкіндік береді. Компания өз серверлерін ұстайтындарға дереу жаңартуға кеңес береді.

Осалдық CI/CD конвейерлерінің баптау файлдарындағы тұрақты өрнектерді талдап, орындайтын құрамдас бөліктен табылды. CI/CD — GitLab кодты автоматты түрде жинап, тестілейтін сценарийлер. Себебі бүтін санның толып кетуінде. Арнайы құрастырылған тұрақты өрнек ақауға әкеледі, ал сол ақау арқылы өз кодыңды іске қосуға болады.

Кімге қатысты

Қауіп компаниялар өз серверлерінде орнататын GitLab Community Edition мен Enterprise Edition-ға төніп тұр. Осал нұсқалар:

• 19.2.8-ге дейінгі 19.2;
• 19.3.4-ке дейінгі 19.3;
• 19.4.2-ге дейінгі 19.4.

Бұлттағы GitLab.com түзетілген нұсқада жұмыс істеп тұр, GitLab Dedicated клиенттеріне де ештеңе істеудің қажеті жоқ. Қатені joaxcar лақап атты зерттеуші тауып, HackerOne-дағы осалдық үшін сыйақы бағдарламасы арқылы хабарлады. Оны пайдаланған шабуылдар туралы әзірге мәлімет жоқ.

Неге кешіктіруге болмайды

Компаниялар GitLab серверлерінде бастапқы кодты, қолжетімділік кілттерін және сервистерді өрістетуге арналған құпияларды сақтайды. Сондықтан мұндай осалдықтарды тез іске қосады. Өткен айда GitLab қауіптілігі ең жоғары тағы бір қате — CVE-2026-85706 туралы ескерткен. Ол авторизациясыз есептік деректер мен құпияларды оқуға мүмкіндік берді. АҚШ-тың CISA киберқауіпсіздік агенттігі келесі күні-ақ оны белсенді пайдаланылатын осалдықтар каталогына енгізіп, федералдық ведомстволарға қорғану үшін үш күн берді.

2021 жылғы қарашадан бері CISA GitLab-тың бес осалдығын шабуылға ұшыраған деп белгіледі, оның бірін бопсалаушылар пайдаланған. Қаңтарда компания екі факторлы аутентификацияны айналып өтуге мүмкіндік беретін CVE-2026-0723 қатесін де жапқан.

Дереккөздер: GitLab — түзетулер бюллетені, BleepingComputer — CVE-2026-97229 осалдығы туралы