CVE-2026-97229: Уразливість переповнення цілого числа або обтікання в GitLab Community Edition та Enterprise Edition

За словами Help Net Security, CVE-2026-97229 — це уразливість переповнення цілого числа в компіляторі регулярних виразів CI/CD GitLab, яка впливає як на GitLab Community Edition (CE), так і на Enterprise Edition (EE)[2]. Видання повідомляє, що GitLab присвоїв уразливості оцінку CVSS 10.0, найвищу можливу.[2]Rapid7 говорить, що незалежно відтворив довільне виконання коду на некоригованому офіційному образі GitLab CE[3]. Його тестування показало, що зловмисник повинен спочатку мати можливість здійснити коміт зловмисного файлу конфігурації CI/CD[3] до публічного проекту. SecurityOnline повідомляє, що Censys оцінює, що 25 766 хостів, доступних з Інтернету, та 79 224 веб-властивостей наразі запускають уразливі версії.[4]Alpine Linux говорить, що 20 та 21 жовтня щойно зареєстрований обліковий запис надіслав розроблені конфігурації CI[5] до його некоригованого екземпляра GitLab, який 8 разів падав процесів робітників GitLab.[5] Проект говорить, що перебудував екземпляр GitLab з нуля[5] тому що він не міг виключити виконання коду. Він також говорить, що жодні ключі підписання не були розкриті.[5]Alpine також попереджує, що оновлення лише GitLab може не виправити недолік: "Виправлення знаходиться не в самому коді GitLab, а в патчі для Ruby, який GitLab застосовує лише у своїх офіційних пакетах."[5]Згідно з HOL, пакети Linux та офіційні образи GitLab виправлені починаючи з версій 19.4.2, 19.3.5 та 19.2.8[1]. Спеціальні збірки також потребують Ruby 3.3.13, 3.4.12 або 4.0.9.[1] HOL говорить, що CISA встановила 1 листопада 2026 року як термін для федеральних агентств США та необхідна судебно-медична експертиза.[1]