GitLab исправила 24 уязвимости, включая критическую с удалённым выполнением кода

12 октября GitLab выпустила обновления безопасности 19.4.2, 19.3.5 и 19.2.8 для Community Edition (CE) и Enterprise Edition (EE). В новые версии вошли исправления 24 уязвимостей, включая критическую ошибку, которая при определённых условиях позволяла удалённо выполнить произвольный код на сервере без авторизации.

Проблема получила идентификатор CVE-2026-97229 и максимальную оценку 10,0 по шкале CVSS. Уязвимость возникла из-за недостаточной проверки регулярных выражений в конфигурации CI/CD. Специально подготовленное выражение могло вызвать целочисленное переполнение и привести к выполнению атакующим произвольных команд на сервере GitLab.

Ошибка затрагивала обе редакции GitLab. Администраторам самостоятельно развёрнутых экземпляров разработчики рекомендуют установить исправленную версию как можно скорее.

Другие уязвимости высокого уровня

Помимо критической проблемы, GitLab устранила ещё пять уязвимостей с высоким уровнем опасности:

• CVE-2026-92883 с оценкой CVSS 8,7 — XSS-уязвимость при подсветке синтаксиса. Пользователь с учётной записью мог внедрить вредоносный JavaScript через специально подготовленный репозиторий.
• CVE-2026-16301 с оценкой 8,5 — ошибка проверки прав, позволявшая пользователю с ролью Developer запускать CI/CD-пайплайны в защищённых ветках без необходимого разрешения.
• CVE-2026-14814 с оценкой 8,2 — подмена кешированных ответов при получении файлов репозитория. Сценарий мог привести к выполнению вредоносного содержимого в CI/CD-пайплайнах и раскрытию защищённых переменных окружения.
• CVE-2026-81839 с оценкой 7,7 — некорректная обработка политик запуска пайплайнов после переноса проекта, позволявшая использовать права новой группы. Уязвимость затрагивала GitLab EE.
• CVE-2026-96893 с оценкой 7,3 — внедрение вредоносных инструкций в GitLab Duo Agent Platform. При определённых условиях это могло привести к непредусмотренному выполнению команд от имени других пользователей. Ошибка также касалась GitLab EE.

В обновлениях исправлены и проблемы среднего и низкого уровней опасности. Они связаны с проверкой прав доступа, раскрытием конфиденциальной информации, работой GraphQL API, GitLab Pages и реестра пакетов.

Что нужно учитывать при обновлении

Пакеты включают миграции базы данных. На односерверных установках обновление вызовет временный простой: миграции должны завершиться до запуска сервиса. Для многосерверных конфигураций доступно обновление без остановки при соблюдении предусмотренной процедуры.

В GitLab 19.3.5 также есть миграции, которые могут выполняться уже после развёртывания. Разработчики отдельно предупреждают об ошибке в версии 19.3.4, затрагивающей страницы запросов на слияние при включённой интеграции Ona. Для ветки 19.3 рекомендуется использовать именно версию 19.3.5.

Облачный GitLab.com уже обновлён, а пользователям GitLab Dedicated не требуется предпринимать дополнительные действия. Для самостоятельно развёрнутых экземпляров доступны версии 19.4.2, 19.3.5 и 19.2.8.