Dobësia e GitLab mund të lejojë RCE pa autentikim
Dobësia CVE-2026-110264 në GitLab mund të lejojë remote code execution (RCE) pa autentikim, që do të thotë se një sulmues mund të jetë në gjendje të ekzekutojë komanda në një server self-managed pa u identifikuar më parë. GitLab i caktoi dobësisë rezultatin 10.0 sipas Common Vulnerability Scoring System (CVSS), vlerësimi maksimal i shkallës, dhe publikoi korrigjimet më 21 tetor. Çdo release i GitLab nga versioni 7.0, i cili doli në vitin 2014, preket nëse nuk është bërë upgrade në një nga versionet e sapokorrigjuara.
Dobësia buron nga një integer overflow, një gabim që shkaktohet kur një numër tejkalon hapësirën e rezervuar për të, ndërsa motori i integruar Onigmo i Ruby kompilion një regular expression të ndërtuar posaçërisht. Një regular expression është një model që software-i përdor për të gjetur ose përpunuar tekstin që përputhet me të. GitLab e përfshin Onigmo në paketat e veta dhe zbaton patch-e për motorin në build-et e veta. Për shkak se komponenti i prekur është shpërndarë me GitLab që nga versioni 7.0, ekspozimi shtrihet në më shumë branch-e release-sh sesa dritarja e zakonshme e kompanisë për mbështetjen e sigurisë.
GitLab thotë se shfrytëzimi është i mundur vetëm në kushte të caktuara, por nuk ka bërë të ditur se cilat janë ato kushte. Kjo i lë administratorët pa mundësi që, vetëm nga konfigurimi i tyre, të përcaktojnë nëse një instalim mund të sulmohet. Njoftimi nuk ofron asnjë zgjidhje të përkohshme, prandaj instalimi i një release-i të korrigjuar është e vetmja mbrojtje e sigurt e identifikuar nga GitLab.
Versioni ku duhet kaluar varet nga branch-i i instaluar aktualisht. Sistemet me 19.5 para 19.5.1 duhet të kalojnë në 19.5.1. Instalimet e versionit 19.4 para 19.4.3 kërkojnë 19.4.3, ndërsa instalimet 19.3 para 19.3.6 kërkojnë 19.3.6. Administratorët që përdorin 19.2 para 19.2.9 duhet të instalojnë 19.2.9, ata me 19.1 para 19.1.9 duhet të instalojnë 19.1.9 dhe ata me 19.0 para 19.0.10 duhet të instalojnë 19.0.10. Të gjitha release-t e prekura nga 7.0 deri në 18.11 duhet të bëjnë upgrade në 18.11.13.
Katër nga këto korrigjime janë jashtë politikës normale të mirëmbajtjes së GitLab. Zakonisht, kompania korrigjon release-in aktual mujor dhe dy release-t që e paraprijnë drejtpërdrejt, të cilat në atë kohë ishin 19.5, 19.4 dhe 19.3. Për shkak të rrezikshmërisë së CVE-2026-110264, GitLab e backportoi korrigjimin edhe në 18.11.13, 19.0.10, 19.1.9 dhe 19.2.9.
Administratorët që instaluan përditësimet e sigurisë të GitLab të 12 tetorit duhet ende të ndërmarrin masa. Ato patch-e të mëparshme mbulonin vetëm versionet 19.2 e më të reja, duke përdorur release-t 19.2.8, 19.3.5 dhe 19.4.2. Korrigjimet e 21 tetorit janë secili një nivel patch më lart se këto versione, kështu që një server i përditësuar më 12 tetor mund të mbetet i cenueshëm ndaj CVE-2026-110264.
Vetëm instalimet self-managed të GitLab duhet të bëjnë upgrade nga klientët. GitLab.com po funksionon tashmë me një version të korrigjuar. Edhe mjediset GitLab Dedicated që përdorin release-t e brendshme 19.3.5-internal0 dhe 19.4.2-internal0, ose çdo version të mëvonshëm, e përmbajnë korrigjimin.
GitLab raportoi se nuk kishte prova që CVE-2026-110264 ishte shfrytëzuar në sulme. Deri më 22 tetor, kjo dobësi mungonte gjithashtu në katalogun e dobësive të njohura si të shfrytëzuara të Agjencisë së SHBA-së për Sigurinë Kibernetike dhe Sigurinë e Infrastrukturës. Megjithatë, GitLab publikoi dy rregulla për shqyrtimin e log-eve të aplikacionit për tentativa të mundshme. Rregullat, të emërtuara "Onigmo native worker crash" dhe "Org mode render error burst", ofrohen përmes framework-ut open-source TLDR të GitLab dhe përdorin Sigma, një format standard për përshkrimin e aktivitetit të dyshimtë në log-e.
Kjo është dobësia e katërt code execution në motorin regular expression të GitLab e raportuar nga i njëjti studiues brenda një muaji dhe e para nga këto katër që prek release më të hershme se 19.2. Më 12 tetor, GitLab korrigjoi CVE-2026-97229, një tjetër dobësi integer overflow pa autentikim, e vlerësuar me 10.0, në versionet 19.2.8, 19.3.5 dhe 19.4.2. Më 23 shtator, korrigjoi CVE-2026-93577 dhe CVE-2026-89078. Të dyja morën rezultate prej 9.9 dhe kërkonin që sulmuesi të kishte një llogari të identifikuar. Këto tri dobësi të mëparshme nuk shtriheshin te versionet para 19.2.
Release-i i 21 tetorit trajton gjithsej 11 probleme sigurie, duke përfshirë një dobësi kritike dhe dhjetë probleme me rrezikshmëri të lartë, mesatare ose të ulët. Një nga dobësitë e tjera me rrezikshmëri të lartë, CVE-2026-15723, ka rezultat 8.2 dhe mund t'i lejojë një përdoruesi të autentikuar të marrë kontrollin e një llogarie tjetër. Ajo zbatohet vetëm kur administratori ka aktivizuar lidhjen automatike të llogarive si për Security Assertion Markup Language (SAML), ashtu edhe për Lightweight Directory Access Protocol (LDAP), dy teknologji që përdoren për të lidhur identitetet e hyrjes.
Një tjetër problem me rrezikshmëri të lartë, CVE-2026-112212, është një dobësi cache-poisoning e vlerësuar me 7.5. Ajo prek endpoint-et OAuth dhe OpenID Connect të GitLab, të cilat marrin pjesë në identifikimin dhe autorizimin e llogarive. Në konfigurimet që përdorin një cache të përbashkët, një sulmues mund t'i ridrejtojë disa procese identifikimi te një server nën kontrollin e tij.
Planifikimi i upgrade është veçanërisht i rëndësishëm për administratorët e sistemeve single-node. GitLab thotë se versionet 19.4.3 dhe 19.3.6 përfshijnë ndryshime të bazës së të dhënave që ekzekutohen gjatë instalimit, duke shkaktuar downtime në një server të përbërë nga një node derisa këto ndryshime të përfundojnë. Deployments multi-node mund të përdorin procedurën zero-downtime upgrade të GitLab. Për organizatat që kanë nevojë për ndihmë në menaxhimin e këtij lloji rreziku të infrastrukturës, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë në plan të parë.
Operatorët self-managed duhet të identifikojnë branch-in e tyre të saktë, të zgjedhin release-in përkatës të korrigjuar dhe të marrin parasysh çdo downtime të nevojshëm. Mungesa e rasteve të vërejtura të shfrytëzimit nuk e ndryshon gamën e versioneve të prekura dhe as nuk e heq nevojën për të instaluar përditësimin e 21 tetorit.