GitLab CVE-2026-110264: și injecție LDAP și request smuggling

Pe 22 octombrie ARX News a tratat CVE-2026-110264 din GitLab Community Edition (CE) și Enterprise Edition (EE), depășirea de întreg (integer overflow) din compilatorul de expresii regulate, cu scor CVSS 10, pe baza avertismentelor CERT-EU și NCSC-NL. În orele următoare și-au publicat avertismentele KISA/KrCERT din Coreea, CSA din Singapore (SingCERT) și INCIBE-CERT din Spania; au scris despre subiect și The Hacker News și heise Security. Mai jos găsești noutățile care contează dacă administrezi instanțe GitLab self-managed.

Ce confirmă noile avertismente

Versiunile afectate și cele corectate coincid în toate sursele: GitLab CE și EE începând cu 7.0, iar primele versiuni neafectate sunt 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 și 19.5.1. De aici titlul The Hacker News, care vorbește de doisprezece ani de versiuni afectate.

Potrivit SingCERT, scorul este 10 din 10 în CVSS v3.1: un atacator neautentificat care exploatează vulnerabilitatea poate executa cod arbitrar și poate compromite sistemul. Avertismentul cere actualizarea imediată.

INCIBE-CERT adaugă două precizări:

• depășirea are loc la compilarea unei expresii regulate create special și permite executarea de cod fără autentificare „în anumite condiții”, pe care avertismentul nu le descrie;
• în tabelul său, vulnerabilitatea apare ca neexploatată. Niciuna dintre celelalte surse nu semnalează atacuri în curs.

Sursele nu spun dacă CVE-2026-110264 are legătură cu CVE-2026-97229, corectată la începutul lui octombrie, care era tot o depășire de întreg în compilatorul de expresii regulate.

Celelalte vulnerabilități din versiune

Pe lângă cea critică, CERT-EU număra 2 vulnerabilități de gravitate ridicată, 5 medii și 4 scăzute, fără identificatori. Avertismentul KISA numește două dintre ele:

• CVE-2026-15723, injecție LDAP în GitLab CE/EE: afectate versiunile începând cu 10.1 anterioare lui 19.3.6, 19.4 anterioare lui 19.4.3 și 19.5 anterioare lui 19.5.1;
• CVE-2026-112212, HTTP request/response smuggling: afectate versiunile începând cu 18.3 anterioare lui 19.3.6, 19.4 anterioare lui 19.4.3 și 19.5 anterioare lui 19.5.1.

KISA nu indică gravitatea acestor două vulnerabilități și nici condițiile de exploatare. La rândul său, INCIBE-CERT scrie că versiunea corectează și vulnerabilități de gravitate ridicată de autentificare și de cache poisoning în endpointurile de discovery OAuth/OIDC, fără să indice identificatorii. Sursele nu permit să spunem dacă sunt aceleași vulnerabilități enumerate de KISA.

Un aspect practic: pentru aceste două CVE, tabelul KISA indică versiuni corectate doar pentru ramurile 19.3, 19.4 și 19.5. Pentru ramurile 18.11, 19.0, 19.1 și 19.2, care au propria versiune corectată pentru CVE-2026-110264, KISA nu indică o corecție. Celelalte surse nu intră în acest detaliu: verifică în buletinul GitLab al patch release 19.5.1.

În același avertisment, KISA include și două vulnerabilități din patch release 19.4.1, o depășire de întreg (CVE-2026-93577) și un double free (CVE-2026-89078), corectate în versiunile 19.2.7, 19.3.3 și 19.4.1. Dacă ai instalat deja versiunile indicate în articolele din octombrie, acestea sunt deja corectate.

GitLab.com și GitLab Dedicated

Potrivit INCIBE-CERT, care preia indicațiile producătorului, GitLab.com rulează deja o versiune corectată. Instanțele GitLab Dedicated cu 19.3.5-internal0, 19.4.2-internal0 sau ulterioare includ deja corecția. Intervenția privește deci mai ales instalările self-managed.

Impactul pentru companiile europene și italiene

Pentru CVE-2026-110264 rămân valabile prioritățile deja indicate: un server GitLab păstrează cod sursă, pipeline-uri și credențiale, iar intervalul afectat cuprinde practic orice instalare care nu a fost actualizată la versiunile din 21 octombrie.

Cele două CVE identificate de KISA privesc funcții obișnuite în instalările din companii: integrarea cu directoarele LDAP și traficul HTTP care trece prin proxy-urile și load balancerele din fața GitLab. Sursele nu spun ce configurații sunt expuse, așa că e mai bine să nu presupui că nu ești afectat.

Pentru entitățile care intră sub incidența NIS2 rămâne valabil ce am scris deja: gestionarea vulnerabilităților, securitatea lanțului de aprovizionare software și, în caz de incident semnificativ, notificarea către CSIRT-ul național (în Italia, CSIRT Italia al ACN; în România, DNSC).

Ce să faci imediat

1. Actualizează fiecare instanță self-managed cel puțin la prima versiune neafectată a ramurii sale (18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 sau 19.5.1), începând cu cele expuse pe Internet.
2. Preferă ramurile 19.3, 19.4 sau 19.5: sunt singurele pentru care KISA indică și corecțiile pentru CVE-2026-15723 și CVE-2026-112212. Dacă rămâi pe o ramură anterioară, verifică în buletinul versiunii 19.5.1 dacă cele două corecții sunt incluse.
3. GitLab Dedicated: verifică dacă instanța este cel puțin la 19.3.5-internal0 sau 19.4.2-internal0.
4. Detecție: aplică pe jurnale regulile de detecție publicate de GitLab, descrise deja în articolul din 22 octombrie. Nicio sursă nu publică indicatori de compromitere.
5. Dacă găsești activitate suspectă: consideră serverul expus, înlocuiește secretele folosite de pipeline-uri și de integrări, inclusiv credențialele de serviciu LDAP, și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă o instanță GitLab este accesibilă din exterior. ARX Shield enumeră vulnerabilitățile deschise pe mașinile monitorizate. ARX Sentry colectează jurnale și evenimente de pe serverele pe care este instalat agentul și verifică integritatea fișierelor din folderele stabilite. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților.

Ultima actualizare: 22 octombrie 2026