GitLab otklonio kritični propust u CI/CD konfiguraciji
GitLab je objavio bezbednosne zakrpe za CVE-2026-97229, ranjivost ocenjenu sa CVSS 10,0 koja je, pod određenim uslovima, neautentifikovanom korisniku mogla omogućiti proizvoljno izvršavanje koda na GitLab serveru. Propust pogađa Community Edition i Enterprise Edition, a ispravke su dostupne u verzijama 19.4.2, 19.3.5 i 19.2.8.
Ranjive su sve verzije grane 19.2 pre 19.2.8, grane 19.3 pre 19.3.5 i grane 19.4 pre 19.4.2. Organizacije koje koriste bilo koju od tih verzija treba da utvrde koje instance su obuhvaćene i da ih prebace na odgovarajuće zakrpljeno izdanje.
Regularni izraz kao put do izvršavanja koda
GitLab navodi da je problem nastajao zbog nedovoljne validacije regularnih izraza u CI/CD konfiguraciji. Posebno oblikovan regularni izraz mogao je da stvori uslove za izvršavanje proizvoljnog koda na serveru bez prethodne prijave korisnika.
Ranjivost je opisana kao integer overflow. Kombinacija maksimalne CVSS ocene, odsustva zahteva za autentifikacijom i mogućnosti izvršavanja koda čini ažuriranje naročito važnim za instance dostupne sa interneta i za sisteme na kojima CI/CD upravlja osetljivim razvojnim ili produkcionim procesima.
Tri dodatna propusta visoke ozbiljnosti
Uz glavni propust, GitLab je zakrpio i CVE-2026-92883 sa ocenom 8,7. Reč je o cross-site scripting ranjivosti kroz posebno pripremljen repozitorijum, koja bi autentifikovanom korisniku mogla omogućiti izvršavanje JavaScript koda u kontekstu sesija drugih korisnika.
CVE-2026-16301, ocenjen sa 8,5, odnosi se na neispravnu autorizaciju u servisu za kreiranje downstream pipeline-a. Autentifikovani korisnik sa ulogom Developer mogao je da pokrene CI/CD pipeline na zaštićenim granama.
Treći propust, CVE-2026-14814 sa ocenom 8,2, vezan je za previše permisivan regularni izraz. On bi korisniku mogao omogućiti trovanje keširanih odgovora za sirove fajlove repozitorijuma, kako bi ciljani korisnici u svojim pipeline-ovima izvršili posebno pripremljen sadržaj i potencijalno otkrili promenljive zaštićenog okruženja.
Operativni prioritet za timove
Praktičan korak je ažuriranje GitLab CE i EE instanci na 19.4.2, 19.3.5 ili 19.2.8, u skladu sa korišćenom granom izdanja. Zatim treba proveriti CI/CD konfiguracije, pristupe zaštićenim granama i okruženjima, kao i plan održavanja instanci koje nisu u neposrednoj nadležnosti razvojnog tima.
Ovaj slučaj pokazuje da CI/CD platforma zahteva isti nivo hitnosti pri zakrpljivanju kao i javno izložena serverska infrastruktura: ažuriranje, evidencija verzija i provera kontrola pristupa treba da budu deo redovnog operativnog procesa.