21 октября 2026 года компания GitLab представила серию патчей для Community Edition (CE) и Enterprise Edition (EE). Обновления версий 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13 исправляют ряд критических уязвимостей. Облачные сервисы GitLab.com и GitLab Dedicated уже получили необходимые исправления, однако администраторам self-managed инсталляций настоятельно рекомендуется обновить свои системы как можно скорее.
Ключевые угрозы
Наиболее опасная уязвимость (CVSS 10.0) позволяла неавторизованному пользователю выполнить произвольный код на сервере. Проблема возникала из-за переполнения целых чисел при компиляции специально подготовленных регулярных выражений. Разработчики оперативно подготовили исправления для широкого спектра версий, начиная с 7.0.
Помимо этого, были устранены другие бреши в безопасности:
- Возможность захвата LDAP-аккаунтов при использовании OmniAuth SAML.
- Риск отравления кэша OAuth/OIDC для перенаправления трафика на сторонние серверы.
- Обход ограничений токенов read_api при создании рабочих элементов.
- Проблемы с принудительной блокировкой членства в группах и проектах.
- Утечки метаданных частных проектов и несанкционированный доступ к платным AI-функциям.
Все найденные уязвимости были выявлены как внутренними специалистами GitLab, так и внешними исследователями через программу bug bounty на платформе HackerOne. В компании подчеркивают важность поддержания актуальности ПО для обеспечения безопасности корпоративных данных. Подробные отчеты об исправленных ошибках станут публично доступны через 90 дней после выхода патчей.
Источник: docs.gitlab.com