GitLab corregge una falla di path traversal di gravità massima mentre sono in corso verifiche

GitLab ha rilasciato aggiornamenti di sicurezza urgenti per chiudere due vulnerabilità gravi, tra cui una falla di path traversal di gravità massima tracciata come CVE-2026-85706. L'azienda ha dichiarato che la falla può consentire ad attaccanti non autenticati di leggere file arbitrari da server self-managed vulnerabili, esponendo potenzialmente password, segreti e altri dati sensibili. La correzione è disponibile nelle versioni 19.3.2, 19.2.6 e 19.1 di GitLab Community Edition ed Enterprise Edition, e GitLab chiede a tutte le installazioni self-managed di aggiornare immediatamente.

La vulnerabilità di path traversal è stata scoperta da un ricercatore di sicurezza con lo pseudonimo s3ntago e segnalata attraverso il programma di bug bounty HackerOne di GitLab. Secondo GitLab, la debolezza deriva da un confinamento improprio dei percorsi e dalla mancata applicazione dell'autenticazione nell'API repository commits. In pratica, una falla di path traversal consente a un attaccante di manipolare un percorso di file in modo che l'applicazione legga un file al di fuori della directory a cui dovrebbe normalmente accedere. Poiché l'API interessata non richiede un utente autenticato, un attaccante non autenticato può inviare una richiesta appositamente costruita e, in determinate condizioni, leggere dati arbitrari come credenziali e altri segreti dal server.

Un giorno dopo il rilascio della patch, la società di sicurezza watchTowr ha riferito di aver già visto attaccanti cercare su Internet server GitLab ancora vulnerabili a CVE-2026-85706. watchTowr ha dichiarato che il suo team di intelligence sta osservando sondaggi in-the-wild per la falla e che gli attaccanti possono leggere file arbitrari con una singola richiesta HTTP. L'azienda ha avvertito che, sulla base delle recenti vulnerabilità di GitLab, è probabile che lo sfruttamento indiscriminato non sia lontano. I difensori dovrebbero anche esaminare i file di log alla ricerca di richieste HTTP POST verso URI contenenti /api/v4/projects/{id}/repository/commits/ e parametri file.path, poiché questo schema potrebbe indicare un tentativo di sfruttamento.

GitLab ha anche corretto lo stesso giorno una seconda vulnerabilità critica, tracciata come CVE-2026-87719. Si tratta di una debolezza di deserializzazione insicura nel serializer delle sottoscrizioni GraphQL e riguarda solo GitLab Enterprise Edition. La deserializzazione insicura può verificarsi quando un programma converte dati memorizzati in oggetti che può utilizzare; se il processo non è adeguatamente protetto, un attaccante può fornire dati dannosi che vengono eseguiti. GitLab ha dichiarato che un utente autenticato con accesso a Duo Chat potrebbe sfruttare CVE-2026-87719 per rubare credenziali sensibili e configurazioni di istanza di Advanced Search. Entrambe le falle sono state corrette nelle stesse release, e GitLab ha sottolineato che GitLab.com esegue già la versione corretta mentre i clienti GitLab Dedicated non devono intervenire.

Non è la prima volta che GitLab affronta una vulnerabilità di path traversal. Nel maggio 2023, l'azienda ha corretto un'altra falla di path traversal di gravità massima, CVE-2023-2825, che poteva esporre codice sorgente proprietario, credenziali utente, token e file su server non aggiornati. Un anno dopo, la Cybersecurity and Infrastructure Security Agency (CISA) statunitense e l'FBI hanno esortato i produttori di software a rimuovere le debolezze di path traversal dai prodotti prima della distribuzione, definendo questa classe di bug imperdonabile almeno dal 2007. A gennaio, GitLab ha anche corretto un bypass dell'autenticazione a due fattori di gravità elevata che consentiva agli attaccanti che conoscevano l'ID account di un utente di aggirare l'autenticazione a due fattori. Da novembre 2021, CISA ha segnalato quattro vulnerabilità di GitLab come sfruttate in attacchi, tra cui CVE-2021-22175 e CVE-2021-39935 a febbraio di quest'anno.

La piattaforma DevSecOps di GitLab ha più di 30 milioni di utenti registrati ed è utilizzata da oltre la metà delle aziende Fortune 100, tra cui Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs e UBS. Per i team che gestiscono GitLab self-managed o altre applicazioni web critiche per il business, restare aggiornati con le patch di sicurezza è essenziale. AEU-I, il nostro servizio di IT, infrastruttura e consulenza security-first, può aiutare le organizzazioni a pianificare la gestione delle vulnerabilità e a monitorare i segnali di traffico malevolo. Poiché le ultime correzioni sono già oggetto di attivi sondaggi, installarle senza indugio è il passo più importante.