CISA dodała CVE-2026-97229 do KEV. Sprawdź wersję GitLaba i Ruby

CISA dodała CVE-2026-97229 do katalogu znanych podatności wykorzystywanych w atakach (KEV) 29 października 2026 r., wskazując na dowody aktywnego wykorzystywania błędu. Administratorzy samodzielnych instalacji GitLaba powinni sprawdzić zarówno wersję aplikacji, jak i to, czy wdrożenie korzysta z osobnego środowiska Ruby. W takim przypadku aktualizacja samego GitLaba może nie wystarczyć. (alert CISA)

GitLab opisał błąd jako przepełnienie liczby całkowitej w kompilatorze wyrażeń regularnych używanym w CI/CD. W określonych warunkach specjalnie spreparowane wyrażenie mogło umożliwić nieuwierzytelnionemu użytkownikowi wykonanie dowolnego kodu na serwerze. GitLab przypisał podatności ocenę CVSS 10.0. (komunikat bezpieczeństwa GitLaba)

Które wersje GitLaba zawierają poprawkę?

GitLab wskazuje trzy podatne gałęzie CE/EE. W każdej poprawkę zawiera inna wersja:

GitLab opublikował te wersje 12 października 2026 r. W komunikacie podał też, że GitLab.com działał już na poprawionej wersji, a klienci GitLab Dedicated zostali zaktualizowani przed publikacją. Dla samodzielnie zarządzanych instalacji firma udostępniła sześć reguł wykrywania prób wykorzystania podatności. (komunikat GitLaba)

Kiedy aktualizacja GitLaba nie wystarczy

Ważny wyjątek dotyczy instalacji, które korzystają z własnego środowiska Ruby zamiast Ruby dołączonego do oficjalnych pakietów i obrazów GitLaba. Alpine Linux podało, że poprawka obejmowała Ruby dołączone do oficjalnych wydań. Własny runtime wymagał osobnej aktualizacji.

W przypadku Alpine aktualizacja GitLaba do wersji 19.3.6 z 22 października nie naprawiła podatnego środowiska Ruby. Alpine wskazało Ruby 3.3.13, 3.4.12 lub 4.0.9 i nowsze jako wersje zawierające poprawkę dla wdrożeń z osobnym Ruby. Obraz Alpine z 27 października zawierał Ruby 3.3.13; starsze tagi oraz obrazy 19.3.6 sprzed tej daty nadal były podatne według Alpine. (relacja Alpine Linux)

Dlatego administratorzy korzystający z własnych obrazów lub instalacji źródłowych powinni uwzględnić oba składniki: wersję GitLaba i dostarczany oddzielnie runtime Ruby. Wersje naprawione dla GitLaba nie zastępują aktualizacji Ruby w takim wdrożeniu.

Co Alpine podało o próbie ataku

Alpine poinformowało, że 20 i 21 października ktoś wysyłał spreparowane konfiguracje CI do instancji GitLaba działającej wtedy na wersji 19.3.4. Procesy robocze uległy awarii osiem razy; w czterech przypadkach atakujący dotarł do części kolejnego etapu, zanim próba się nie powiodła.

Alpine nie znalazło dowodów na wykonanie kodu, ale nie mogło wykluczyć, że do niego doszło. W związku z tą niepewnością odbudowało swoją instancję. Podało też, że kontrole nie wykazały naruszenia repozytorium aports, pakietów ani wydań z 21 października. To ustalenia dotyczące instancji Alpine, nie wszystkich systemów korzystających z tej dystrybucji. Alpine poinformowało, że 29 października ponownie uruchomiło GitLaba w wersji 19.3.7. (relacja Alpine Linux)

Kogo obejmuje dyrektywa BOD 26-04

CISA podała, że dyrektywa BOD 26-04 obowiązuje agencje amerykańskiej Federal Civilian Executive Branch (FCEB). Pozostałym organizacjom zaleciła priorytetowe traktowanie podatności wpisanych do KEV. (alert CISA)