Vulnerabilitate critică în GitLab, cu scor CVSS 10.0, permite executarea de cod de la distanță fără autentificare

GitLab a lansat actualizări pentru o vulnerabilitate critică, identificată ca CVE-2026-110264, care permite executarea de cod pe servere autogestionate fără autentificare. Problema afectează versiunile începând cu GitLab 7.0, lansată în 2014.

Vulnerabilitatea are un scor maxim CVSS 10.0 și este cauzată de o depășire de număr întreg (integer overflow) în timpul compilării unei expresii regulate special concepute. În anumite condiții, un atacator poate executa cod arbitrar pe server.

GitLab nu a identificat dovezi că vulnerabilitatea ar fi fost exploatată în atacuri. Sunt afectate doar instalările autogestionate; GitLab.com utilizează deja versiunea remediată.

Actualizările de securitate sunt disponibile pentru mai multe ramuri, inclusiv 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 și 18.11.13. Administratorii trebuie să identifice versiunea utilizată și să instaleze actualizarea corespunzătoare.

Problema afectează motorul de expresii regulate Onigmo, inclus în pachetele GitLab. Compania a publicat și două reguli de detecție, „Onigmo native worker crash” și „Org mode render error burst”, pentru identificarea tentativelor de exploatare în jurnalele aplicației.

Actualizarea din 21 octombrie remediază în total 11 vulnerabilități de securitate. Printre acestea se numără și probleme care pot permite preluarea conturilor în anumite configurații de autentificare SAML și LDAP, precum și redirecționarea unor fluxuri OAuth și OpenID Connect către servere controlate de atacatori.

Nu există o soluție alternativă confirmată, astfel că actualizarea reprezintă principala măsură de protecție. Administratorii trebuie să țină cont că anumite versiuni includ modificări ale bazei de date care pot provoca întreruperi temporare pe serverele cu un singur nod.

Sursă: https://thehackernews.com/2026/10/critical-gitlab-flaw-cvss-100-could.html?m=1