SecAtor

GitLab предупреждает пользователей о необходимости срочного устранения уязвимости максимальной степени серьезности в компиляторе регулярных выражений CI/CD, которая позволяет удаленным злоумышленникам выполнять произвольный код на целевых экземплярах. По данным GitLab, что ее платформой DevSecOps пользуются более 30 миллионов зарегистрированных пользователей и более 50% компаний из списка Fortune 100, включая Nvidia, T-Mobile, Lockheed Martin, Airbus и Goldman Sachs. Критическая уязвимость отслеживается как CVE-2026-97229 и была обнаружена исследователем joaxcar, который уведомил разработчиков через программу вознаграждения за обнаружение уязвимостей HackerOne от GitLab. CVE-2026-97229 связана с уязвимостью переполнения целочисленных значений в компиляторе регулярных выражений GitLab CI/CD, который анализирует, компилирует и вычисляет регулярные выражения в файлах конфигурации конвейера проектов. Как поясняет GitLab, при определенных условиях ошибка позволяет неавторизованному пользователю выполнить произвольный код на сервере с помощью специально созданного регулярного выражения в конфигурации CI/CD из-за недостаточной проверки регулярных выражений. GitLab исправила проблему в версиях GitLab Community Edition (CE) и Enterprise Edition (EE) с 19.2 до 19.2.8, с 19.3 до 19.3.4 и с 19.4 до 19.4.2, настоятельно призвая пользователей немедленно обновить свои серверы. На GitLab.com уже установлена исправленная версия. Клиентам GitLab Dedicated никаких действий предпринимать не нужно. CVE-2026-97229 - это последняя из серии уязвимостей, которые GitLab устранил за последние месяцы. В январе быдла закрыта уязвимость, представляющую серьезную угрозу обхода 2Fa (CVE-2026-0723), позволявшая злоумышленникам, знающим идентификатор учетной записи жертвы, обходить двухфакторную аутентификацию на серверах Community Edition и Enterprise Edition. В прошлом месяце пофиксили еще одну уязвимость максимальной степени серьезности (CVE-2026-85706) в GitLab CE/EE, которая позволяет неавторизованным злоумышленникам считывать конфиденциальные данные, включая учетные данные и другие секреты, с уязвимых серверов. Позже CISA добавило CVE-2026-85706 в свой каталог KEV, в котором фигурирует пять уязвимостей в GitLab, использовавшихся в атаках с ноября 2021 года, включая одну, которая была использована бандами вымогателей.