GitLab CVE-2026-97229: Rapid7 reproduce RCE, e nevoie de 19.3.5

📌 Evoluții ulterioare: GitLab CVE-2026-110264: și injecție LDAP și request smuggling (22 octombrie 2026) · GitLab 19.5.1: nouă RCE fără autentificare, CVE-2026-110264 (22 octombrie 2026)

Pe 12 octombrie, ARX News a tratat CVE-2026-97229 (CVSS 10.0) din GitLab Community Edition (CE) și Enterprise Edition (EE), integer overflow-ul din compilatorul de expresii regulate CI/CD, pe baza avizelor CERT-EU și CERT-FR. În orele următoare au apărut buletinul GitLab preluat de presă, avizele INCIBE-CERT, CERT.LV și CCB din Belgia și, mai ales, o primă analiză a Rapid7. În continuare, noutățile care schimbă prioritățile.

Pe ramura 19.3, versiunea corectată este 19.3.5

Punctul cel mai practic privește ramura 19.3. Buletinul GitLab, intitulat potrivit INCIBE-CERT „GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8”, indică drept versiune corectată 19.3.5. Același număr apare în Help Net Security, CSO Online, Security Affairs și în avizul CERT.LV. CERT-EU, CERT-FR și BleepingComputer indicau în schimb 19.3.4, iar acesta este numărul din primul nostru articol.

Sursele nu explică diferența. Din prudență, pe ramura 19.3 consideră corectată doar versiunea 19.3.5 sau una ulterioară, chiar dacă ai instalat deja 19.3.4.

Versiuni afectate potrivit GitLab, așa cum sunt preluate de presă și de INCIBE-CERT:

• de la 19.2 până la 19.2.8, exclusiv;
• de la 19.3 până la 19.3.5, exclusiv;
• de la 19.4 până la 19.4.2, exclusiv.

GitLab.com folosește deja versiunea corectată, iar clienții GitLab Dedicated nu trebuie să facă nimic. Potrivit CSO Online, GitLab precizează că, atunci când un tip de instalare (omnibus, din surse, chart Helm) nu este menționat, sunt afectate toate.

Ce a verificat Rapid7

Potrivit actualizării Help Net Security din 13 octombrie, singura sursă care o relatează, cercetătorii Rapid7 au reprodus execuția de cod pe imaginea oficială GitLab CE 19.4.1 neactualizată; același input nu a funcționat pe imaginea 19.4.2.

Rapid7 clarifică și condițiile de exploatare. Vectorul CVSS al producătorului indică atac prin rețea, complexitate scăzută, fără privilegii și fără interacțiunea utilizatorului. Potrivit Rapid7, însă, atacatorul trebuie mai întâi să poată face commit, pe un branch al unui proiect public, unui fișier .gitlab-ci.yml malițios și unei căi din repository care conține caractere UTF-8. Pe instanțele self-managed care le permit utilizatorilor să creeze proiecte publice, este suficient un cont obișnuit.

Expunerea depinde, așadar, de cine poate obține un cont pe instanță și poate crea proiecte publice. În termeni MITRE ATT&CK este tot exploatarea unei aplicații expuse (T1190), dar cu un cont valid.

Potrivit Rapid7, în prezent nu există o exploatare confirmată în atacuri reale; și INCIBE-CERT indică vulnerabilitatea ca neexploatată. Rapid7 recomandă totuși actualizarea urgentă, în afara ciclului normal de patch-uri. CCB din Belgia și CERT.LV cer actualizarea imediată.

Vulnerabilitatea a fost raportată prin programul de bug bounty al GitLab pe HackerOne de cercetătorul „joaxcar” (Johan Carlsson, potrivit CSO Online). Potrivit Help Net Security, același cercetător a raportat și CVE-2026-7767, un open redirect de severitate medie în proxy-ul Kubernetes al GitLab, care poate trimite token-uri de autentificare către un server neprevăzut.

Celelalte corecturi din versiune

Potrivit INCIBE-CERT, cele 24 de vulnerabilități corectate se împart astfel: 1 critică, 5 ridicate, 14 medii și 4 scăzute. Față de primul nostru articol, CSO Online asociază un identificator tuturor celor cinci de severitate ridicată:

• CVE-2026-92883 (CVSS 8.7): cross-site scripting în output-ul cu evidențierea sintaxei, din cauza unei sanitizări insuficiente a atributelor HTML;
• CVE-2026-16301 (CVSS 8.5): un utilizator cu rolul Developer poate rula pipeline-uri pe branch-uri protejate fără autorizare;
• CVE-2026-14814 (CVSS 8.2): este problema de cache poisoning deja menționată; privește răspunsurile pentru fișierele raw din repository și poate face ca pipeline-urile vizate să ruleze conținut malițios, cu acces la variabilele de mediu protejate;
• CVE-2026-81839 (CVSS 7.7): un utilizator autentificat poate rula pipeline-uri arbitrare într-un proiect transferat, cu privilegiile noului grup;
• CVE-2026-96893 (CVSS 7.3): în GitLab Duo, un utilizator autentificat poate introduce conținut creat special în instrucțiunile agenților IA, cu posibila execuție de comenzi nedorite atribuită altor utilizatori.

Vulnerabilitățile de severitate medie și scăzută afectează GitLab Pages, proxy-ul Kubernetes, API-urile GraphQL, merge request-urile, rolurile personalizate, package registry și importul de repository-uri și proiecte. Potrivit CSO Online, GitLab va face publice detaliile problemelor la 90 de zile după lansare: nu are rost să le aștepți ca să actualizezi.

Impactul pentru companiile europene și italiene

Condițiile descrise de Rapid7 fac mai expuse instanțele GitLab partajate cu mulți utilizatori, inclusiv furnizori, consultanți și colaboratori externi, mai ales dacă permit crearea de proiecte publice. Sunt adesea aceleași instanțe care păstrează pipeline-urile de lansare și secretele.

Avizele CSIRT-urilor naționale din Belgia, Spania și Letonia, alături de cele ale CERT-EU și CERT-FR, confirmă atenția la nivel european. Pentru entitățile care intră sub incidența NIS2 rămâne valabil ce am scris în primul articol: gestionarea vulnerabilităților, securitatea lanțului de aprovizionare cu software și, în cazul unui incident semnificativ, notificarea către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN.

Ce să faci acum

1. Ramura 19.3: actualizează la 19.3.5 sau o versiune ulterioară, chiar dacă ești deja la 19.3.4. Pe celelalte ramuri: 19.4.2 sau 19.2.8 ori versiuni ulterioare. Pentru ramura 19.1 rămâne valabil ce am scris deja: nu este indicată nicio corectură, treci cel puțin la 19.2.8.
2. Priorități: începe cu instanțele accesibile de pe internet și cu cele care au înregistrarea deschisă sau în care utilizatorii pot crea proiecte publice.
3. Verifică setările: controlează cine se poate înregistra și cine poate crea proiecte publice, condiția indicată de Rapid7. Nu este o atenuare indicată de GitLab: singura corectură este actualizarea.
4. Verifică repository-urile: caută modificările recente ale fișierului .gitlab-ci.yml în proiectele publice, mai ales de la conturi noi sau puțin folosite, și căile din repository cu caractere non-ASCII. Nicio sursă nu a publicat indicatori de compromitere.
5. Dacă găsești activitate suspectă: consideră serverul expus, înlocuiește secretele folosite de pipeline-uri și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Expose identifică serviciile pe care compania ta le expune pe internet și produsele cu vulnerabilități cunoscute: te ajută să afli dacă o instanță GitLab poate fi accesată din exterior. ARX Shield enumeră vulnerabilitățile deschise de pe mașinile monitorizate. ARX Sentry colectează jurnale și evenimente de pe serverele pe care este instalat agentul și controlează integritatea fișierelor din folderele stabilite. Cu ARX Horizon consulți din portal detaliile vulnerabilităților.

Ultima actualizare: 13 octombrie 2026