GitLab dicht twee kritieke lekken in CI/CD-configuratie
GitLab heeft volgens de eigen blog vorige week versies 19.4.1, 19.3.3 en 19.2.7 uitgebracht voor Community Edition en Enterprise Edition. De patchreleases verhelpen twee kritieke kwetsbaarheden in de verwerking van reguliere expressies binnen CI/CD-configuraties. Beide lekken hebben een CVSS-score van 9,9 en kunnen onder voorwaarden leiden tot uitvoering van willekeurige code op de GitLab-server.
De eerste kwetsbaarheid, CVE-2026-89078, zit in de parser voor reguliere expressies. Een geauthenticeerde gebruiker kan onder bepaalde omstandigheden een speciaal gemaakte reguliere expressie opnemen in een CI/CD-configuratie. Een double-free-fout tijdens het verwerken van die expressie kan vervolgens leiden tot uitvoering van willekeurige code.
CVE-2026-93577 bevindt zich in de compiler voor reguliere expressies. Ook bij deze kwetsbaarheid kan een geauthenticeerde gebruiker een speciaal gemaakte expressie in een CI/CD-configuratie gebruiken. In dit geval ontstaat het probleem door een integer overflow tijdens het compileren van de reguliere expressie.
Beide kwetsbaarheden treffen GitLab CE en EE vanaf versie 19.2. GitLab heeft de problemen opgelost in 19.2.7, 19.3.3 en 19.4.1. Het bedrijf adviseert beheerders van self-managed installaties om zo snel mogelijk naar een gepatchte versie te upgraden. GitLab.com draait al op een gepatchte versie. Klanten van GitLab Dedicated hoeven volgens GitLab geen actie te ondernemen.
Meer beveiligingslekken
De patch verhelpt daarnaast een kwetsbaarheid met een hoge ernst in de weergave van verschillen binnen merge requests. CVE-2026-84739 kan een geauthenticeerde gebruiker onder bepaalde omstandigheden JavaScript laten uitvoeren in de browsersessie van een andere gebruiker.
Ook GitLab Duo AI krijgt een beveiligingsfix. Door ontbrekende autorisatiecontroles kon een geauthenticeerde gebruiker in bepaalde situaties gevoelige waarden uit CI/CD-variabelen bekijken via debuglogs die door de functie voor AI-ondersteunde foutanalyse werden verwerkt. Dit lek, CVE-2026-92470, treft alleen GitLab Enterprise Edition en heeft een CVSS-score van 7,7.
MCP-autorisatie
GitLab repareert met dezelfde releases ook een autorisatieprobleem rond Model Context Protocol. Een gebruiker met een token dat alleen voor MCP was bedoeld, kon onder bepaalde omstandigheden acties uitvoeren buiten de bedoelde scope van dat token. CVE-2026-92874 heeft een CVSS-score van 5,4.
Een tweede MCP-probleem zat in de gitlab_search-tool. Door een race condition kon gedeelde state in uitzonderlijke gevallen zoekresultaten teruggeven binnen de verkeerde gebruikerscontext. GitLab beoordeelt deze kwetsbaarheid met een CVSS-score van 3,1.
De patch bevat daarnaast beveiligingsfixes voor onder meer Direct Transfer, de Epic Issues REST API, Duo Workflow Service, GraphQL en CI-jobtraces. GitLab meldt dat de upgrade database-migraties bevat. Bij single-node-installaties veroorzaakt de upgrade daardoor downtime. Voor multi-node-installaties kan de patch volgens GitLab met de juiste upgradeprocedure zonder downtime worden geïnstalleerd.
Bron: GitLab
