Критическая Гитлаб Фло (CVSS 10.0) может допускать неубедительные RCE в течение 12 лет выпуска

21 октября GitLab выпустила исправление ошибки, позволившей нападавшему запустить код на самоуправляемом сервере без регистрации, и это повлияло на каждую версию программного обеспечения, вернувшуюся к 7.0 в 2014 году. Зафиксировать важно даже для администраторов, которые починили 9 дней назад: 12 октября обновление охватывало только версии 19.2 и позже, а новые фиксированные версии были расположены на одном патче над ним, так что обновленная версия снова находится в диапазоне. Дефект CVE-2026-110264 оценивается в 10,0 по шкале CVSS, максимальной. GitLab говорит, что при определенных условиях он может позволить неподтверждённому пользователю запустить произвольный код на сервере из-за полного переполнения во время составления специально разработанного регулярного выражения. Гитлаб не сказал, что это за условия. Компания не сообщает о том, что этот недостаток использовался при нападениях и в США его нет. Каталог известных эксплуатируемых факторов уязвимости по состоянию на 22 октября. Только самоуправляемые установки должны действовать. GitLab.com уже работает с фиксированной версией, и Gitlab настраивает арендаторов на внутренние релизы 19.3.5-international0 и 19.4.2-internal0 или позже уже имеет фиксацию. GitLab починил недостаток в семи версиях одновременно. В таблице ниже каждый отдел выпуска сворачивается с той версией, которая его исправляет. Четыре из этих версий старше, чем обычно GitLab. Политика компании охватывает текущий выпуск и предыдущие два ежемесячных…