GitLab rregullon të metën e traversimit të shtegut me ashpërsi maksimale ndërsa po bëhen hetime

GitLab ka publikuar përditësime urgjente sigurie për të mbyllur dy dobësi të rënda, përfshirë një gabim të traversimit të shtegut me ashpërsi maksimale të identifikuar si CVE-2026-85706. Kompania tha se gabimi mund të lejojë sulmues të paautentikuar të lexojnë skedarë arbitrarë nga serverë të vetë-menaxhuar të prekshëm, duke ekspozuar potencialisht fjalëkalime, sekrete dhe të dhëna të tjera të ndjeshme. Rregullimi është i disponueshëm në versionet GitLab Community Edition dhe Enterprise Edition 19.3.2, 19.2.6 dhe 19.1, dhe GitLab po kërkon që të gjitha instalimet e vetë-menaxhuara të përditësohen menjëherë.

Dobësia e traversimit të shtegut u zbulua nga një studiues sigurie me pseudonimin s3ntago dhe u raportua përmes programit të shpërblimit për gabime HackerOne të GitLab. Sipas GitLab, dobësia vjen nga kufizimi i papërshtatshëm i shtegut dhe mungesa e zbatimit të autentikimit në API-n e komitimit të depove. Në praktikë, një gabim i traversimit të shtegut lejon një sulmues të manipulojë një shteg skedari në mënyrë që aplikacioni të lexojë një skedar jashtë drejtorisë që normalisht duhet të aksesojë. Për shkak se API-ja e prekur nuk kërkon një përdorues të identifikuar, një sulmues i paautentikuar mund të dërgojë një kërkesë të ndërtuar dhe, në kushte të caktuara, të lexojë të dhëna arbitrare si kredencialet dhe sekrete të tjera nga serveri.

Një ditë pas publikimit të rregullimit, kompania e sigurisë watchTowr raportoi se kishte parë tashmë sulmues që kërkonin në internet serverë GitLab që mbeten të prekshëm ndaj CVE-2026-85706. watchTowr tha se ekipi i saj i inteligjencës po vëzhgon hetime në terren për gabimin dhe se sulmuesit mund të lexojnë skedarë arbitrarë me një kërkesë të vetme HTTP. Kompania paralajmëroi se bazuar në dobësitë e fundit të GitLab, shfrytëzimi i pandërgjegjshëm ka gjasa të mos jetë larg. Mbrojtësit duhet gjithashtu të shikojnë në skedarët e regjistrave për kërkesa HTTP POST drejt URI-ve që përmbajnë /api/v4/projects/{id}/repository/commits/ dhe parametra file.path, pasi ky model mund të tregojë një përpjekje shfrytëzimi.

GitLab rregulloi gjithashtu një dobësi të dytë kritike në të njëjtën ditë, të identifikuar si CVE-2026-87719. Ky problem është një dobësi e deserializimit të pasigurt në serializuesin e abonimit GraphQL dhe prek vetëm GitLab Enterprise Edition. Deserializimi i pasigurt mund të ndodhë kur një program konverton të dhëna të ruajtura përsëri në objekte që mund t'i përdorë; nëse procesi nuk sigurohet si duhet, një sulmues mund të furnizojë të dhëna të dëmshme që ekzekutohen. GitLab tha se një përdorues i autentikuar me akses në Duo Chat mund të shfrytëzojë CVE-2026-87719 për të vjedhur kredenciale të ndjeshme dhe konfigurime të instancës Advanced Search. Të dyja gabimet u rregulluan në të njëjtat versione, dhe GitLab theksoi se GitLab.com tashmë po ekzekuton versionin e rregulluar, ndërsa klientët e GitLab Dedicated nuk kanë nevojë të ndërmarrin veprime.

Kjo nuk është hera e parë që GitLab përballet me një dobësi të traversimit të shtegut. Në maj 2023, kompania rregulloi një tjetër gabim të traversimit të shtegut me ashpërsi maksimale, CVE-2023-2825, i cili mund të ekspozonte kod burimor pronësor, kredenciale përdoruesish, tokena dhe skedarë në serverë të parregulluar. Një vit më vonë, Agjencia e Sigurisë Kibernetike dhe Infrastrukturës (CISA) e SHBA-së dhe FBI-ja i nxitën prodhuesit e softuerit të heqin dobësitë e traversimit të shtegut nga produktet përpara se t'i dërgojnë, duke e quajtur këtë klasë gabimesh të pafalshme që nga të paktën 2007. Në janar, GitLab rregulloi gjithashtu një anashkalim të autentikimit me dy faktorë me ashpërsi të lartë që lejonte sulmuesit që dinin ID-në e llogarisë së një përdoruesi të anashkalonin autentikimin me dy faktorë. Që nga nëntori 2021, CISA ka shënuar katër dobësi të GitLab si të shfrytëzuara në sulme, përfshirë CVE-2021-22175 dhe CVE-2021-39935 në shkurt të këtij viti.

Platforma GitLab DevSecOps ka më shumë se 30 milionë përdorues të regjistruar dhe përdoret nga më shumë se gjysma e kompanive Fortune 100, përfshirë Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs dhe UBS. Për ekipet që menaxhojnë vetë GitLab ose aplikacione të tjera kritike për biznesin, të qenit në hap me përditësimet e sigurisë është thelbësore. AEU-I, shërbimi ynë i IT-së, infrastrukturës dhe konsulencës i fokusuar në sigurinë, mund t'i ndihmojë organizatat të planifikojnë menaxhimin e dobësive dhe të monitorojnë për shenja të trafikut keqdashës. Për shkak se rregullimet më të fundit tashmë po testohen në mënyrë aktive, instalimi i tyre pa vonesë është hapi më i rëndësishëm.