GitLab, falla critica CVE-2026-97229 nel compilatore regex CI/CD: esecuzione di codice

• GitLab corregge CVE-2026-97229, falla di gravità massima nel compilatore regex CI/CD
• Un utente non autenticato può eseguire codice arbitrario sul server
• Colpite CE/EE 19.2, 19.3 e 19.4 precedenti a 19.2.8, 19.3.4, 19.4.2
• Aggiornare subito le istanze self-managed; GitLab.com è già protetta

GitLab ha invitato gli utenti ad applicare subito le patch per CVE-2026-97229, una vulnerabilità di gravità massima nel CI/CD Regular Expression Compiler. Il difetto può permettere a un attaccante remoto di eseguire codice arbitrario sulle istanze colpite. L’avviso ufficiale è stato pubblicato lunedì.

Come funziona la falla

Il problema è un integer overflow, cioè un errore di calcolo numerico che supera i limiti previsti, nel componente che analizza, compila e valuta le espressioni regolari nei file di configurazione delle pipeline dei progetti.

Secondo GitLab, in determinate condizioni un utente non autenticato avrebbe potuto eseguire codice sul server tramite un’espressione regolare costruita ad hoc in una configurazione CI/CD. La causa indicata è una validazione insufficiente delle espressioni regolari.

La vulnerabilità è stata scoperta da un ricercatore con lo pseudonimo joaxcar e segnalata tramite il programma di bug bounty di GitLab su HackerOne.

Versioni interessate e corrette

Sono coinvolte GitLab Community Edition (CE) ed Enterprise Edition (EE) nelle seguenti versioni:

• dalla 19.2 fino a prima della 19.2.8;
• dalla 19.3 fino a prima della 19.3.4;
• dalla 19.4 fino a prima della 19.4.2.

GitLab raccomanda a tutte le installazioni self-managed di passare subito a una di queste release corrette. GitLab.com usa già la versione aggiornata. I clienti di GitLab Dedicated non devono intervenire.

Il contesto

La falla si aggiunge a una serie di vulnerabilità corrette di recente dalla società. A gennaio è stato risolto un bypass dell’autenticazione a due fattori di gravità alta (CVE-2026-0723), sfruttabile da chi conosce l’ID dell’account bersaglio.

Il mese scorso GitLab ha chiuso un’altra falla di gravità massima, CVE-2026-85706, che consente ad attaccanti non autenticati di leggere dati sensibili, come credenziali e altri segreti. Il giorno dopo la CISA statunitense l’ha inserita nel catalogo delle vulnerabilità sfruttate attivamente, ordinando alle agenzie federali di mettere in sicurezza i sistemi entro tre giorni.

Dal novembre 2021 la CISA ha segnalato cinque falle di GitLab usate in attacchi, una delle quali sfruttata da gruppi ransomware. Per ora la fonte non indica sfruttamento attivo di CVE-2026-97229.

GitLab dichiara oltre 30 milioni di utenti registrati e più della metà delle aziende Fortune 100 tra i clienti della sua piattaforma DevSecOps.

Cosa fare

• Aggiornare le istanze self-managed a 19.2.8, 19.3.4 o 19.4.2, a seconda del ramo in uso.
• Verificare l’inventario delle istanze GitLab, comprese quelle poco monitorate.

Fonte: BleepingComputer · Foto: BleepingComputer