12 октября GitLab выпустила обновления безопасности 19.4.2, 19.3.5 и 19.2.8 для Community Edition (CE) и Enterprise Edition (EE). Разработчики исправили 24 уязвимости, включая критическую, которая при определённых условиях позволяла удалённо выполнить произвольный код на сервере GitLab без авторизации. Администраторам собственных экземпляров GitLab рекомендуют обновиться как можно скорее.
Критическая уязвимость в CI/CD
Самая опасная проблема получила идентификатор CVE-2026-97229 и максимальную оценку 10,0 по шкале CVSS.
Причина — недостаточная проверка регулярных выражений в конфигурации CI/CD. Из-за ошибки целочисленного переполнения злоумышленник при определённых условиях мог использовать специально подготовленное регулярное выражение для выполнения произвольного кода на сервере GitLab. При этом авторизация не требовалась.
Уязвимость затрагивала обе редакции GitLab в следующих версиях:
-
19.2 — до 19.2.8;
-
19.3 — до 19.3.5;
-
19.4 — до 19.4.2.
Какие ещё проблемы исправили
Помимо критической уязвимости, разработчики устранили ещё пять ошибок высокого уровня опасности.
Среди них:
-
CVE-2026-92883 (CVSS 8,7) — межсайтовый скриптинг (XSS) при подсветке синтаксиса. Пользователь с учётной записью мог внедрить вредоносный JavaScript через специально подготовленный репозиторий.
-
CVE-2026-16301 (CVSS 8,5) — ошибка проверки прав, позволявшая пользователю с ролью Developer запускать CI/CD-пайплайны в защищённых ветках без необходимого разрешения.
-
CVE-2026-14814 (CVSS 8,2) — возможность подмены кешированных ответов при получении файлов репозитория. Это могло привести к выполнению вредоносного содержимого в CI/CD-пайплайнах и раскрытию защищённых переменных окружения.
-
CVE-2026-81839 (CVSS 7,7) — некорректная обработка политик запуска пайплайнов после переноса проекта, позволявшая использовать права новой группы. Затрагивала GitLab EE.
-
CVE-2026-96893 (CVSS 7,3) — внедрение вредоносных инструкций в GitLab Duo Agent Platform. При определённых условиях это могло привести к непредусмотренному выполнению команд от имени других пользователей. Затрагивала GitLab EE.
Также исправлены уязвимости среднего и низкого уровней опасности, связанные с проверкой прав доступа, раскрытием конфиденциальной информации, работой GraphQL API, GitLab Pages и реестра пакетов.
Какие версии устанавливать
Для самостоятельно развёрнутых экземпляров GitLab доступны три исправленные версии:
-
19.4.2 — для ветки 19.4;
-
19.3.5 — для ветки 19.3;
-
19.2.8 — для ветки 19.2.
Обновление затрагивает и базу данных: в пакет включены миграции, которые необходимо учитывать при установке.
На односерверных экземплярах GitLab обновление приведёт к временному простою, поскольку миграции должны завершиться до запуска сервиса. Для многосерверных установок предусмотрено обновление без остановки при соблюдении соответствующей процедуры. В версии 19.3.5 также есть миграции, которые могут выполняться после развёртывания.
Отдельно разработчики предупреждают о версии 19.3.4: в ней обнаружили ошибку, затрагивающую страницы запросов на слияние при включённой интеграции Ona. Проблему исправили в 19.3.5, поэтому для ветки 19.3 следует устанавливать именно эту версию.
Облачный GitLab.com уже обновлён. Пользователям GitLab Dedicated дополнительных действий не требуется.
Подробный перечень исправлений и рекомендации по обновлению опубликованы в официальном анонсе GitLab.
GitLab CI/CD можно использовать и для автоматизации ML-экспериментов. На бесплатном уроке «Автоматизация ML-экспериментов с помощью GitLab CI/CD и CML» 15 октября в 18:00 преподаватель курса «MLOps» покажет, как запускать обучение моделей при каждом коммите, отслеживать метрики в запросах на слияние и делать эксперименты воспроизводимыми.
Источник: habr.com