GitLab ha rilasciato una patch per una grave vulnerabilità che potrebbe consentire a attaccanti non autenticati di eseguire codice arbitrario su server auto-gestiti in determinate condizioni. Questo bug, risalente a 12 anni fa, riguarda diverse versioni del software, inclusi aggiornamenti fino a GitLab 7.0, lanciato nel giugno 2014.
Il problema, identificato come CVE-2026-110264, è causato da un overflow intero durante la compilazione di espressioni regolari. Secondo quanto segnalato dalla casa produttrice, questa vulnerabilità potrebbe consentire a un utente non autenticato di eseguire codice arbitrario sul server GitLab a causa del malfunzionamento nella gestione delle espressioni regolari create appositamente.
GitLab ha rilasciato le correzioni nelle versioni 19.5.1, 19.4.3 e 19.3.6, e ha retroportato la patch anche a versioni precedenti come 19.2.9, 19.1.9, 19.0.10 e 18.11.13. L’azienda raccomanda fortemente a tutte le organizzazioni che utilizzano versioni vulnerabili di aggiornare alla versione corretta “il prima possibile”.
Le infrastrutture gestite da GitLab, inclusi GitLab.com e GitLab Dedicated, sono già state corretti. Inoltre, GitLab ha rilasciato due rilevamenti delle minacce (qui e qui) per i clienti con istanze auto-gestite.
La vulnerabilità è stata segnalata dal ricercatore Johan Carlsson attraverso il programma di bug bounty di GitLab su HackerOne. La società di rilevamento delle minacce SOC Prime ha avvertito che “per le organizzazioni che gestiscono infrastrutture GitLab auto-gestite, il potenziale impatto è severo”. I repository di GitLab spesso contengono codice sorgente, configurazioni CI/CD, segreti di deployment, token di accesso e definizioni di infrastruttura, il che significa che una compromissione a livello di server potrebbe portare a furto di credenziali, manipolazione dei repository, attacchi alla supply chain, persistenza o movimento laterale.
Al momento non ci sono indicazioni di tentativi di sfruttamento della vulnerabilità già avvenuti, ma è prevedibile che i criminali inizieranno a cercare istanze vulnerabili a breve. L’attuale caos legato a PHP potrebbe offrire ai difensori un momento di vantaggio, ma considerata la valutazione di gravità CVSS pari a 10 e l’ampia diffusione di GitLab, che vanta 50 milioni di utenti registrati e oltre il 50% dell’elenco Fortune 100, questo vantaggio non durerà a lungo.
Solo il mese scorso, attaccanti hanno iniziato a colpire un’altra vulnerabilità di massima gravità nei prodotti GitLab CE e EE pochi giorni dopo il rilascio di una patch, come segnalato dalla US Cybersecurity and Infrastructure Security Agency e da ricercatori privati.
