Критическая уязвимость GitLab (CVSS 10.0): удалённое выполнение кода в релизах за 12 лет

GitLab 21 октября выпустил исправления для уязвимости, которая при определённых условиях позволяет неаутентифицированному пользователю выполнить произвольный код на self-managed сервере. Брешь получила идентификатор CVE-2026-110264 и максимальную оценку по шкале CVSS — 10.0.

Причина — переполнение целого числа при компиляции специально сформированного регулярного выражения. Какие именно условия необходимы для атаки, компания не раскрыла, поэтому администраторы пока не могут исключить себя из зоны риска за счёт настроек. Признаков эксплуатации в реальных атаках не обнаружено, в каталоге известных уязвимостей CISA брешь на 22 октября не значится.

Почему проблема уходит так глубоко

Уязвимый компонент — встроенный в Ruby движок регулярных выражений Onigmo, который GitLab поставляет и патчит внутри собственных сборок. Слабое место в этом движке присутствует везде, где GitLab его поставлял, то есть в каждом релизе начиная с версии 7.0 — она вышла в 2014 году.

Исправление важно даже для тех, кто обновился девятью днями ранее: апдейт от 12 октября закрывал только версии 19.2 и новее, а свежие исправленные версии стоят на один патч выше, так что обновлённые тогда инстансы снова оказались уязвимы.

Исправления и охват

GitLab закрыл брешь сразу в семи версиях: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Четыре из них старше, чем компания обычно обслуживает: политика поддержки охватывает текущий и два предыдущих ежемесячных релиза. Бэкпортирование исправления на устаревшие ветки GitLab применяет только для особо серьёзных проблем.

Действовать нужно лишь владельцам self-managed установок. GitLab.com уже работает на исправленной версии, а тенанты GitLab Dedicated получили патч во внутренних релизах.

Серия находок и прочие уязвимости

Это уже четвёртая брешь выполнения кода в движке регулярных выражений GitLab, о которой за месяц сообщил исследователь под псевдонимом joaxcar, и первая, затронувшая версии до 19.2. Для обнаружения попыток эксплуатации GitLab опубликовал два детекта в формате Sigma в рамках своего open-source фреймворка TLDR.

Всего октябрьский релиз закрывает 11 проблем безопасности: одну критическую и остальные — высокого, среднего и низкого уровня. Среди прочих — возможность захвата чужого аккаунта (CVE-2026-15723) и отравление кеша в OAuth-эндпоинтах (CVE-2026-112212).

Обновление версий 19.4.3 и 19.3.6 включает изменения базы данных, выполняемые при апгрейде, из-за чего на одноузловом сервере неизбежен простой. Многоузловые установки можно обновить без простоя по процедуре zero-downtime.

Источник: The Hacker News