Opublikowane zostały poprawki platformy do organizacji współpracy GitLab - 19.4.2, 19.3.4, 19.2.8, w których usunięto 24 luki w zabezpieczeniach. Najniebezpieczniejsza luka (CVE-2026-97229) umożliwia zdalne wykonanie własnego kodu na serwerze. Problem został spowodowany przepełnieniem całkowitym w kodzie kompilacji wyrażeń regularnych. Atak może być przeprowadzony przez użytkownika nieautoryzowanego za pomocą specjalnie skonstruowanego wyrażenia regularnego w konfiguracji CI/CD. Lukom przypisano poziom zagrożenia 10 na 10.
Wszystkim użytkownikom zaleca się pilną instalację aktualizacji. Szczegóły problemu na razie nie będą ujawnione i będą dostępne publicznie po 30 dniach od publikacji poprawki (w ostatnich dniach w bibliotece libpcre2 usunięto podobną lukę, ale była ona spowodowana nie przepełnieniem całkowitym). Informacje o luce zostały przekazane do GitLab w ramach aktywnego programu na HackerOne dotyczącego wypłaty nagród za znalezienie luk w zabezpieczeniach.
Źródło: opennet.ru
