GitLab objavio hitne zakrpe za kritičnu ranjivost u svim verzijama od 7.0

GitLab je 21. oktobra objavio ispravke za ranjivost CVE-2026-110264 u samostalnim instalacijama. Kompanija navodi da propust, pod određenim uslovima, omogućava napadaču bez prijave izvršavanje proizvoljnog koda na serveru. Uzrok je celobrojno prekoračenje pri obradi posebno napravljenog regularnog izraza u ugrađenom Ruby pogonu Onigmo, koji GitLab isporučuje u svojim paketima od verzije 7.0. Zbog toga pogođena su sva izdanja od 2014. do danas.

Ranjivost je ocenjena maksimalnom CVSS ocenom 10,0. GitLab nije objavio tačne preduslove za napad niti privremeno zaobilaženje. Nema podataka da je korišćena u napadima. Instanca GitLab.com je već na ispravljenoj verziji; GitLab Dedicated korisnici na internim izdanjima 19.3.5-internal0 i 19.4.2-internal0 ili novijim su zaštićeni.

Ispravke su objavljene u sedam grana. Pored redovnih izdanja, GitLab je zakrpe preneo i na starije grane 18.11.13, 19.0.10, 19.1.9 i 19.2.9. Administratori koji su 12. oktobra nadogradili na 19.2.8, 19.3.5 ili 19.4.2 treba ponovo da nadograde, jer te verzije još ne sadrže ovu ispravku. Objavljene su i dve detekcije za pokušaje zloupotrebe u TLDR okviru.

Šta uraditi

• Proveriti verziju samostalne GitLab instance i nadograditi je na ispravljenu verziju za odgovarajuću granu prema GitLab tabeli.
• Ako ste 12. oktobra primenili zakrpe, proveriti da li je instanca sada u opsegu ove ranjivosti i nadograditi ponovo.
• Za jednoslojne servere planirati kratak prekid zbog izmena baze pri prelasku na 19.3.6 i 19.4.3; višeslojne instance mogu koristiti proceduru bez prekida.