Компания GitLab устранила двенадцать уязвимостей безопасности в различных версиях своего программного обеспечения, включая критическую уязвимость, позволяющую удаленно выполнять код.
Компания GitLab в среду выпустила обновления безопасности для версий 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13 платформ GitLab Community Edition (CE) и Enterprise Edition (EE). Обновления устраняют в общей сложности двенадцать уязвимостей безопасности, одна из которых классифицирована как критическая. В обновлениях для более старых версий (19.2.9, 19.1.9, 19.0.10 и 18.11.13) содержится только исправление для этой критической уязвимости.
Все обновления включают в себя исправления ошибок, а также устранение уязвимости безопасности CVE-2026-110264, которая классифицируется как "критическая" и имеет оценку CVSS 10.0. Благодаря этой уязвимости, неавторизованные злоумышленники при определенных условиях могут выполнять произвольный код на сервере. Причиной является переполнение целого числа при компиляции подготовленных регулярных выражений. Подвержены этой проблеме все версии, начиная с 7.0. На данный момент случаи эксплуатации данной уязвимости не зафиксированы.
Остальные одиннадцать уязвимостей были исправлены только в версиях 19.3.6, 19.4.3 и 19.5.1. Две из них имеют высокий уровень потенциальной угрозы: CVE-2026-15723 (оценка CVSS – 8.2) позволяет авторизованным пользователям получать доступ к чужим учетным записям LDAP без каких-либо действий со стороны владельцев этих учетных записей, при условии одновременной активации OmniAuth-SAML и автоматической привязки LDAP. CVE-2026-112212 (оценка CVSS – 7.5) позволяет неавторизованным злоумышленникам манипулировать документом обнаружения OAuth/OIDC, хранящимся в общем кэше, и таким образом перенаправлять определенные процессы аутентификации OAuth на собственный сервер.
Пять других исправлений касаются уязвимостей с уровнем угрозы "средний": CVE-2026-12664 (оценка CVSS: 6.8), CVE-2026-16255 (5.9), CVE-2026-105777 (4.3), CVE-2026-13319 (4.3) и CVE-2026-112378 (4.3). Четыре уязвимости классифицированы как "низкий" уровень угрозы: CVE-2026-105711, CVE-2026-14288, CVE-2026-112326 и CVE-2026-103515.
Компания GitLab рекомендует немедленно обновить все самостоятельно развернутые установки. Для устранения всех двенадцати уязвимостей необходимо обновиться до версий 19.3.6, 19.4.3 или 19.5.1. Сервер GitLab.com уже работает с исправленной версией, а также выделенные серверы GitLab, начиная с версий 19.3.5-internal0 и 19.4.2-internal0. Для самостоятельно развернутых установок компания GitLab также опубликовала два правила обнаружения, которые позволяют выявлять попытки эксплуатации критической уязвимости.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале