GitLab закрыл критическую уязвимость в компиляторе регулярных выражений CI/CD

GitLab выпустил предупреждение для пользователей, призвав немедленно установить обновление, закрывающее уязвимость максимальной степени критичности. Брешь в компиляторе регулярных выражений CI/CD позволяла удалённым злоумышленникам выполнять произвольный код на уязвимых серверах.

В чём суть проблемы

Уязвимость получила идентификатор CVE-2026-97229. Её обнаружил исследователь безопасности, известный под псевдонимом joaxcar, и сообщил о ней через программу вознаграждений GitLab на платформе HackerOne.

Проблема связана с целочисленным переполнением в компиляторе регулярных выражений CI/CD — компоненте, который разбирает, компилирует и вычисляет регулярные выражения в конфигурационных файлах пайплайнов. По словам компании, из-за недостаточной проверки регулярных выражений при определённых условиях неавторизованный пользователь мог выполнить произвольный код на сервере GitLab, передав специально сформированное выражение в конфигурации CI/CD.

Какие версии затронуты

GitLab устранил уязвимость в редакциях Community Edition (CE) и Enterprise Edition (EE): в ветках 19.2 — до 19.2.8, 19.3 — до 19.3.4 и 19.4 — до 19.4.2. Компания настоятельно рекомендует всем администраторам самостоятельно размещённых инсталляций немедленно обновиться до одной из этих версий. Сервис GitLab.com уже работает на исправленной версии, а клиентам GitLab Dedicated никаких действий предпринимать не нужно.

Не первый случай за последние месяцы

CVE-2026-97229 продолжает череду уязвимостей, которые GitLab устранял в последнее время. В январе была закрыта брешь высокой критичности, позволявшая обойти двухфакторную аутентификацию при знании идентификатора учётной записи жертвы (CVE-2026-0723). В прошлом месяце компания исправила ещё одну уязвимость максимальной критичности (CVE-2026-85706), которая давала неавторизованным злоумышленникам возможность читать с серверов конфиденциальные данные, включая учётные данные и другие секреты.

Уже на следующий день после раскрытия Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло CVE-2026-85706 в каталог уязвимостей, эксплуатируемых в реальных атаках, и обязало федеральные ведомства устранить проблему в течение трёх дней. С ноября 2021 года CISA отметила пять уязвимостей GitLab, использованных в атаках, в том числе одну, которой пользовались операторы программ-вымогателей.

По данным самой компании, платформой DevSecOps пользуются более 30 миллионов зарегистрированных пользователей и свыше половины компаний из списка Fortune 100 — среди них Nvidia, T-Mobile, Lockheed Martin, Airbus и Goldman Sachs.

Источник: Bleeping Computer