GitLab, patch per CVE-2026-97229 (CVSS 10.0): rischio di esecuzione di codice

• GitLab corregge CVE-2026-97229 (CVSS 10.0) in CE ed EE: possibile esecuzione di codice da remoto
• Colpite le versioni 19.2, 19.3 e 19.4 precedenti a 19.2.8, 19.3.5 e 19.4.2
• Corretti anche CVE-2026-92883, CVE-2026-16301 e CVE-2026-14814, tutte ad alta gravità
• Aggiornare subito alla versione corretta del proprio ramo

GitLab ha rilasciato aggiornamenti di sicurezza per una vulnerabilità di gravità massima che interessa le edizioni Community (CE) ed Enterprise (EE). La falla, tracciata come CVE-2026-97229 e con punteggio CVSS 10.0, potrebbe portare all’esecuzione di codice arbitrario sul server. L’avviso è stato pubblicato lunedì.

Il problema

Secondo l’azienda, in determinate condizioni un utente non autenticato potrebbe eseguire codice arbitrario sul server GitLab. Il vettore è un’espressione regolare costruita ad hoc all’interno di una configurazione CI/CD, a causa di una validazione insufficiente delle espressioni regolari. La vulnerabilità è descritta come un integer overflow, cioè un errore di calcolo che si verifica quando un valore numerico supera i limiti previsti.

Versioni colpite e corrette

• tutte le versioni dalla 19.2 precedenti alla 19.2.8;
• tutte le versioni dalla 19.3 precedenti alla 19.3.5;
• tutte le versioni dalla 19.4 precedenti alla 19.4.2.

Le correzioni sono disponibili nelle versioni 19.4.2, 19.3.5 e 19.2.8.

Le altre vulnerabilità corrette

Lo stesso rilascio risolve tre bug di gravità alta:

• CVE-2026-92883 (CVSS 8.7): cross-site scripting che permetterebbe a un utente autenticato di eseguire JavaScript arbitrario nelle sessioni del browser di altri utenti, tramite un repository appositamente preparato;
• CVE-2026-16301 (CVSS 8.5): autorizzazione impropria nel servizio di creazione delle pipeline downstream. Un utente autenticato con ruolo Developer potrebbe eseguire pipeline CI/CD su branch protetti;
• CVE-2026-14814 (CVSS 8.2): espressione regolare troppo permissiva, che consentirebbe di alterare (poisoning) le risposte in cache dei file raw di un repository. Le pipeline CI/CD degli utenti presi di mira potrebbero così eseguire contenuti manipolati ed esporre variabili d’ambiente protette.

Il contesto

La pubblicazione arriva poche settimane dopo la correzione di una falla critica in AI Gateway, CVE-2026-90970 (CVSS 9.9). Questa avrebbe permesso a un utente autenticato con accesso alla Duo Agent Platform di uscire dalla sandbox dei template di prompt, tramite una configurazione di flusso manipolata, e di eseguire comandi arbitrari sull’AI Gateway.

Il mese scorso un’altra vulnerabilità di gravità massima in GitLab CE ed EE, CVE-2026-85706 (CVSS 10.0), ha registrato tentativi di sondaggio in the wild nel giro di poche ore dalla divulgazione pubblica.

Cosa fare

Gli amministratori di istanze self-managed dovrebbero aggiornare quanto prima alla versione corretta del proprio ramo: 19.4.2, 19.3.5 o 19.2.8. Dato il precedente di sondaggi rapidi dopo la divulgazione, è prudente non rimandare l’installazione.

Fonte: The Hacker News · Foto: The Hacker News