Sårbarhet for kodekjøring i GitLab utløser hastevarsel om sikkerhetsoppdatering

En sårbarhet med høyeste alvorlighetsgrad som muliggjør kodekjøring i GitLab, har ført til et hastevarsel for administratorer som bruker selvadministrerte installasjoner. Sikkerhetsfeilen kan gjøre det mulig for eksterne angripere å kjøre vilkårlig kode uten å logge inn.

GitLab offentliggjorde problemet 12. oktober og lanserte sikkerhetsoppdateringer for berørte versjoner av Community Edition (CE) og Enterprise Edition (EE). Samtidig kjører GitLab.com allerede den oppdaterte programvaren, og GitLab Dedicated-kunder trenger ikke å foreta seg noe ytterligere.

Sårbarheten påvirker behandlingen av CI/CD-konfigurasjoner

Sårbarheten, som spores som CVE-2026-97229, involverer et heltallsoverløp i GitLabs CI/CD-kompilator for regulære uttrykk. Denne komponenten behandler regulære uttrykk i prosjektets konfigurasjonsfiler for pipelines.

Under visse forhold kan en angriper utnytte utilstrekkelig validering ved å plassere et spesielt utformet regulært uttrykk i en CI/CD-konfigurasjon. Som et resultat kan serveren kjøre kode som kontrolleres av angriperen.

Angrepet krever ingen autentisering. GitLabs sikkerhetsvarsel beskriver imidlertid utnyttelsen som avhengig av spesifikke forhold, snarere enn som mulig mot enhver installasjon uavhengig av konfigurasjon.

En sikkerhetsforsker rapporterte problemet gjennom GitLabs bug bounty-program på HackerOne.

Rettelser for kodekjøring i GitLab dekker tre versjonsgrener

De berørte versjonene omfatter tre versjonsgrener av GitLab. Administratorer bør kontrollere sin installerte versjon mot følgende intervaller:

• 19.2: Versjoner før 19.2.8.
• 19.3: Versjoner før 19.3.4.
• 19.4: Versjoner før 19.4.2.

GitLab anbefaler å umiddelbart oppgradere berørte selvadministrerte installasjoner til den aktuelle oppdaterte versjonen. Disse oppdateringene inneholder også andre sikkerhetsrettelser og feilrettinger.

For organisasjoner som bruker GitLab.com, har plattformoperatøren allerede installert oppdateringen. Tilsvarende opplyser GitLab at Dedicated-kunder ikke trenger å gjøre endringer selv.

Tidligere GitLab-sårbarheter har blitt utnyttet i angrep

Den siste advarselen kommer etter flere andre alvorlige sikkerhetsproblemer i GitLab i år.

I januar rettet GitLab CVE-2026-0723, en sårbarhet som gjorde det mulig å omgå tofaktorautentisering i Community Edition og Enterprise Edition. Denne sårbarheten gjorde det mulig for angripere som kjente til ID-en til en målkonto, å omgå den ekstra autentiseringskontrollen.

I september rettet GitLab deretter CVE-2026-85706, en sårbarhet med høyeste alvorlighetsgrad som muliggjorde katalogtraversering. Den gjorde det mulig for uautentiserte angripere å få tilgang til sensitive serverdata, inkludert påloggingsopplysninger og andre hemmeligheter.

CISA la deretter til sårbarheten fra september i sin katalog over kjente utnyttede sårbarheter, Known Exploited Vulnerabilities. Byrået ga også føderale myndigheter tre dager på å sikre berørte systemer.

Disse rapportene om utnyttelse gjelder den tidligere sårbarheten for katalogtraversering. Opplysningene i det oppgitte sikkerhetsvarselet fastslår ikke at den nye sårbarheten i kompilatoren for regulære uttrykk blir aktivt utnyttet.