CVE-2026-97229: Уязвимость целочисленного переполнения в GitLab Community Edition и Enterprise Edition

По данным Help Net Security, CVE-2026-97229 — это уязвимость целочисленного переполнения в компиляторе регулярных выражений CI/CD GitLab, которая влияет как на GitLab Community Edition (CE), так и на Enterprise Edition (EE)[2]. Издание сообщает, что GitLab присвоила уязвимости оценку CVSS 10.0 — максимально возможную.[2]Rapid7 говорит, что независимо воспроизвела произвольное выполнение кода на непатченном официальном образе GitLab CE[3]. Ее тестирование показало, что злоумышленник должен сначала иметь возможность коммитить вредоносный файл конфигурации CI/CD[3] в открытый проект. SecurityOnline сообщает, что Censys оценивает, что 25 766 доступных через интернет хостов и 79 224 веб-свойства в настоящее время работают на уязвимых версиях.[4]Alpine Linux говорит, что 20 и 21 октября недавно зарегистрированный аккаунт отправил созданные конфигурации CI[5] на его непатченный экземпляр GitLab, который привел к краху процессов рабочего GitLab 8 раз.[5] Проект говорит, что он пересобрал экземпляр GitLab с нуля[5] потому, что не мог исключить выполнение кода. Также проект говорит, что никакие ключи подписи не были скомпрометированы.[5]Alpine также предупреждает, что обновление только GitLab может не исправить ошибку: "Исправление находится не в собственном коде GitLab, а в патче для Ruby, который GitLab применяет только в своих официальных пакетах."[5]По данным HOL, пакеты GitLab для Linux и официальные образы исправлены начиная с версий 19.4.2, 19.3.5 и 19.2.8[1]. Пользовательские сборки также требуют Ruby 3.3.13, 3.4.12 или 4.0.9.[1] HOL говорит, что CISA установила крайний срок 1 ноября 2026 года для федеральных агентств США и необходимости судебно-технической триажа.[1]