GitLab

Ruby wydało wersje 4.0.9, 3.4.12 i 3.3.13, aby naprawić trzy błędy w silniku wyrażeń regularnych Onigmo, które leżą u podstaw czterech krytycznych luk bezpieczeństwa w GitLab. Błędy te pozwalają specjalnie spreparowanemu wzorcowi na uszkodzenie pamięci podczas kompilacji, co może prowadzić do wykonania kodu na serwerach GitLab. Problem dotyczy aplikacji, które kompilują wyrażenia regularne z danych kontrolowanych przez atakującego, co zostało wykryte i zgłoszone przez badacza joaxcar. Dla administratorów GitLab zaleca się zainstalowanie odpowiednich wersji łatek, aby zabezpieczyć instancje samo-zarządzane, podczas gdy GitLab.com i GitLab Dedicated są już zabezpieczone.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

GitLab wydał poprawki na krytyczną lukę bezpieczeństwa (CVSS 10.0), która pozwala atakującym na wykonanie dowolnego kodu na serwerze bez uwierzytelnienia, dotykając wszystkie wersje oprogramowania od 2014 roku. Problem, śledzony jako CVE-2026-110264, wynika z przepełnienia liczby całkowitej w mechanizmie kompilacji wyrażeń regularnych, a choć nie odnotowano ataków, zaleca się natychmiastową aktualizację instalacji samoobsługowych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐⭐ (10/10)

GitLab wydał poprawki dla krytycznej luki bezpieczeństwa w wersjach Community Edition (CE) i Enterprise Edition (EE), która pozwala nieautoryzowanym użytkownikom na wykonanie dowolnego kodu serwera. Luka, śledzona jako CVE-2026-97229, jest wynikiem przepełnienia liczby całkowitej i miała ocenę CVSS 10.0, a załatano ją w wersjach 19.4.2, 19.3.5 i 19.2.8.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

W systemie GitLab AI Gateway wykryto krytyczną lukę (CVE-2026-90970) o wadze 9.9 w skali CVSS, która pozwala zalogowanemu użytkownikowi z dostępem do platformy Duo Agent na wykonanie dowolnych komend na bramce pod pewnymi warunkami. Problem dotyczy wyłącznie organizacji korzystających z samoobsługowych (self-hosted) instancji AI Gateway; użytkownicy GitLab.com, GitLab Dedicated oraz samoobsługowych instancji z bramką hostowaną przez GitLaba są bezpieczni. Firma GitLab wydała już poprawki dla wersji bramki 19.2.4, 19.3.2 i 19.4.1, zalecając natychmiastową aktualizację wszystkim dotkniętym klientom.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Prywatny adres e-mail, który GitLab przypisuje użytkownikom do zgłaszania problemów, stanowi w rzeczywistości potencjalny wektor ataku. Osoba, która go pozyska, może poprzez e-mail wysłać łatkę zatwierdzoną w imieniu użytkownika do dowolnej gałęzi, w tym głównej, a także inicjować zadania CI/CD działające pod jego tożsamością. Adres ten, związany z tokenem konta użytkownika, nie wygasa, a jego token jest wspólny dla wszystkich projektów, do których użytkownik ma dostęp, niezależnie od ich widoczności. GitLab nie weryfikuje nadawcy, co pozwala na wykonywanie akcji jako użytkownik bez jego wiedzy, a nawet omijając dwuskładnikowe uwierzytelnianie, co stanowi znaczące ryzyko bezpieczeństwa.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

GitLab opublikował łatki naprawiające liczne luki bezpieczeństwa, w tym krytyczną lukę CVE-2026-85706 (CVSS 10.0), która umożliwia nieautoryzowanym użytkownikom odczyt dowolnych plików z serwera GitLab, co doprowadziło do natychmiastowych prób wykorzystania w atakach. Problemem jest niewłaściwe ograniczanie ścieżek i brak egzekwowania uwierzytelniania w API repozytorium commitów, a wśród innych załatanych luk znajduje się również problem deserializacji w GitLab EE (CVE-2026-87719, CVSS 9.9), co może prowadzić do ujawnienia informacji. Organizacje posiadające samoobsługowe instancje GitLab narażone na działanie Internetu powinny pilnie zastosować łatki lub ograniczyć dostęp publiczny.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

W tym tygodniu pojawiły się doniesienia o wykorzystaniu sztucznej inteligencji do ataków na sterowniki PLC Siemens, co stanowi zagrożenie dla infrastruktury krytycznej, a także o nowej luce w GitLab, która została aktywnie wykorzystana wkrótce po ujawnieniu. Odkryto również trojanizowane pakiety npm dystrybuujące backdoor RedC2 4.0, nowy atak ‘Zombie Card’ umożliwiający oszustwa płatnicze przy użyciu przeterminowanych kart Visa oraz wykorzystanie legalnych przepływów uwierzytelniania przez podejrzewanych rosyjskich hakerów. Dodatkowo, atak Spectre na Cloudflare Workers pozwolił na wyciek tokenów JWT, a grupa Cl0p wykorzystała nową podatność w PTC Windchill do szyfrowania danych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Nowo odkryta luka bezpieczeństwa w GitLabie, oznaczona jako CVE-2026-19478, została aktywnie wykorzystana przez atakujących w ciągu kilku dni od publicznego ujawnienia. Ta krytyczna podatność, z wynikiem CVSS 9.4, pozwala nieautoryzowanemu atakującemu na wstrzyknięcie kodu, co umożliwia modyfikację, usuwanie publicznych projektów GitLab oraz przepisywanie ich danych bez konieczności uwierzytelniania czy interakcji użytkownika, co podkreśla rosnące tempo wykorzystania luk dzięki sztucznej inteligencji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)