Sårbarhed i GitLab muliggør kodekørsel og udløser akut advarsel om sikkerhedsopdatering

En sårbarhed med den højeste alvorlighedsgrad, der muliggør kodekørsel i GitLab, har udløst en akut advarsel til administratorer, der anvender selvadministrerede installationer. Sikkerhedsfejlen kan gøre det muligt for fjernangribere at udføre vilkårlig kode uden at logge ind.

GitLab offentliggjorde problemet den 12. oktober og udsendte sikkerhedsrettelser til berørte versioner af Community Edition (CE) og Enterprise Edition (EE). Samtidig kører GitLab.com allerede den opdaterede software, og GitLab Dedicated-kunder behøver ikke at foretage sig yderligere.

Sårbarheden påvirker behandlingen af CI/CD-konfigurationer

Sårbarheden, der spores som CVE-2026-97229, involverer et heltalsoverløb i GitLabs CI/CD-compiler til regulære udtryk. Denne komponent behandler regulære udtryk i projekters konfigurationsfiler til pipelines.

Under visse forhold kan en angriber udnytte utilstrækkelig validering ved at placere et særligt udformet regulært udtryk i en CI/CD-konfiguration. Som følge heraf kan serveren udføre kode, der kontrolleres af angriberen.

Angrebet kræver ikke godkendelse. GitLabs sikkerhedsmeddelelse beskriver dog udnyttelsen som afhængig af specifikke forhold frem for som mulig mod enhver installation uanset konfiguration.

En sikkerhedsforsker rapporterede problemet gennem GitLabs bug bounty-program på HackerOne.

Rettelser til kodekørsel i GitLab dækker tre versionsgrene

De berørte versioner omfatter tre versionsgrene af GitLab. Administratorer bør kontrollere deres installerede version i forhold til følgende intervaller:

• 19.2: Versioner før 19.2.8.
• 19.3: Versioner før 19.3.4.
• 19.4: Versioner før 19.4.2.

GitLab anbefaler, at berørte selvadministrerede installationer straks opgraderes til den relevante rettede version. Disse opdateringer indeholder også andre sikkerhedsrettelser og fejlrettelser.

For organisationer, der bruger GitLab.com, har platformsoperatøren allerede installeret opdateringen. Tilsvarende oplyser GitLab, at Dedicated-kunder ikke selv behøver at foretage ændringer.

Tidligere GitLab-sårbarheder har været udnyttet i angreb

Den seneste advarsel følger efter flere andre alvorlige sikkerhedsproblemer i GitLab i år.

I januar rettede GitLab CVE-2026-0723, en sårbarhed, der gjorde det muligt at omgå tofaktorgodkendelse i Community Edition og Enterprise Edition. Denne sårbarhed gjorde det muligt for angribere, der kendte et måls konto-id, at omgå den ekstra godkendelseskontrol.

I september rettede GitLab derefter CVE-2026-85706, en sårbarhed med den højeste alvorlighedsgrad, der muliggjorde katalogtraversering. Den gjorde det muligt for ikke-godkendte angribere at få adgang til følsomme serverdata, herunder loginoplysninger og andre hemmeligheder.

CISA tilføjede efterfølgende sårbarheden fra september til sit katalog over kendte udnyttede sårbarheder, Known Exploited Vulnerabilities. Myndigheden gav også føderale myndigheder tre dage til at sikre berørte systemer.

Disse rapporter om udnyttelse vedrører den tidligere sårbarhed for katalogtraversering. Oplysningerne i den fremlagte sikkerhedsmeddelelse fastslår ikke, at den nye sårbarhed i compileren til regulære udtryk bliver aktivt udnyttet.