Sicherheitsanfälligkeit in GitLab, die die Remote-Ausführung von Code zulässt

Korrigierte Updates der Plattform für die gemeinsame Entwicklung GitLab wurden veröffentlicht – 19.4.2, 19.3.4, 19.2.8, in denen 24 Schwachstellen behoben wurden. Die gefährlichste Schwachstelle (CVE-2026-97229) ermöglicht die Ausführung von beliebigem Code auf dem Server aus der Ferne. Das Problem wird durch einen Integer-Überlauf im Code zur Kompilierung regulärer Ausdrücke verursacht. Der Angriff kann von einem nicht authentifizierten Benutzer durch die Verwendung eines speziell gestalteten regulären Ausdrucks in der CI/CD-Konfiguration durchgeführt werden. Den Schwachstellen wurde eine Gefährdung von 10 von 10 zugewiesen.

Allen Benutzern wird dringend empfohlen, das Update umgehend zu installieren. Details zu dem Problem werden vorerst nicht bekannt gegeben und werden 30 Tage nach Veröffentlichung des Fixes öffentlich zugänglich sein (vor Kurzem wurde in der Bibliothek libpcre2 eine ähnliche Schwachstelle behoben, die jedoch nicht durch einen Integer-Überlauf verursacht wurde). Informationen zur Schwachstelle wurden im Rahmen des auf HackerOne aktiven Programms zur Belohnung für die Entdeckung von Schwachstellen an GitLab übermittelt.

Quelle: opennet.ru