Vulnerabilitate critică în GitLab: RCE pe versiuni vechi de 12 ani

Când administrezi o infrastructură IT pentru companii, știi că liniștea este adesea înșelătoare. În mediul de afaceri actual, în care tot mai multe companii folosesc platforme interne de dezvoltare, securitatea codului sursă a devenit o prioritate absolută. La fel cum nu lași ușa descuiată la sediul firmei din Arad, nici serverele interne nu ar trebui lăsate fără un nivel riguros de protecție și actualizări constante.

#Ce s-a întâmplat

GitLab a lansat un patch de urgență pentru o vulnerabilitate de severitate maximă (scor CVSS 10). Această problemă, identificată sub codul CVE-2026-110264 și raportată de cercetătorul Johan Carlsson prin programul de bug bounty HackerOne, afectează atât edițiile Community Edition (CE), cât și Enterprise Edition (EE).

Problema este cauzată de o depășire de număr întreg (integer overflow) în procesul de compilare a expresiilor regulate (regular expressions). În anumite condiții, acest defect poate permite unui atacator neautentificat să execute cod arbitrar de la distanță (RCE) pe serverele găzduite local (self-managed). Ceea ce face această alertă deosebit de îngrijorătoare este faptul că versiunile afectate acoperă o perioadă de 12 ani, începând practic de la GitLab 7.0, lansat în iunie 2014.

GitLab a publicat remedieri în versiunile 19.5.1, 19.4.3 și 19.3.6, precum și în versiuni anterioare compatibile (precum 19.2.9, 19.1.9, 19.0.10 sau 18.11.13), recomandând insistent actualizarea imediată. Infrastructura administrată direct de companie (inclusiv GitLab.com și GitLab Dedicated) a fost deja actualizată, însă serverele proprii ale companiilor rămân vulnerabile până la aplicarea manuală a patch-ului.

#Impact pentru firme

Pentru o firmă mică sau mijlocie care își găzduiește propriul server de Git pentru a reduce costurile sau din motive de confidențialitate, riscul este major. Un atacator care exploatează această vulnerabilitate poate obține controlul complet la nivel de server. Depozitele de cod (repositories) conțin adesea secrete de implementare, parole de acces, chei API, tokenuri și conexiuni directe spre mediile de producție.

În experiența noastră de teren cu sisteme reale, vedem frecvent servere interne lăsate cu versiuni vechi de ani de zile, doar pentru că „merge și nu vrem să stricăm ceva”. O astfel de breșă poate duce rapid la furt de date sensibile, injectare de cod malițios în lanțul software (atacuri de tip supply chain) sau la compromiterea întregii rețele a companiei. Deși la momentul publicării nu existau indicii ale unor atacuri active, practica ne arată că infractorii cibernetici încep să scaneze și să exploateze astfel de defecte la scurt timp după publicarea detaliilor.

#Recomandări concrete

Dacă rulați o instanță self-managed de GitLab, nu amânați intervenția. Pentru a vă proteja afacerea, iată ce trebuie să faceți chiar astăzi:

1. Verificați imediat versiunea de GitLab instalată pe serverul companiei accesând panoul de administrare sau rulând comanda de interogare a pachetului.
2. Actualizați software-ul la cea mai recentă versiune stabilă recomandată de producător (19.5.1, 19.4.3, 19.3.6 sau versiunile corectate corespunzătoare ramurii pe care vă aflați).
3. Implementați regulile de detecție a amenințărilor puse la dispoziție de producător pentru a bloca tentativele de acces neautorizat dacă actualizarea nu poate fi făcută instantaneu.

Dacă aveți nevoie de ajutor specializat pentru menținerea în siguranță a infrastructurii, echipa Activ.NET vă stă la dispoziție cu servicii profesionale de administrare de servere și consultanță în securitate IT.

#Concluziile noastre

Vulnerabilitățile de tip Remote Code Execution cu scor maxim sunt o reamintire dură a faptului că nicio platformă nu este invulnerabilă în lipsa unei igiene cibernetice riguroase. La Activ.NET, recomandăm clienților noștri din Arad și din întreaga țară să trateze mentenanța periodică și actualizările software nu ca pe un inconvenient, ci ca pe o barieră esențială împotriva pierderilor financiare și a daunelor de imagine.

Inspirat din: The Register