Múltiples vulnerabilidades en productos de GitLab

Se han re­por­ta­do un total de vein­ti­cua­tro fa­llos de se­gu­ri­dad que afec­tan a las edi­cio­nes Com­mu­nity y En­ter­pri­se de GitLab, de acuer­do con los avi­sos pro­por­cio­na­dos por co­la­bo­ra­do­res ex­ter­nos y por el pro­pio equi­po de la or­ga­ni­za­ción. Estas fa­llas se di­vi­den en di­fe­ren­tes ni­ve­les de gra­ve­dad, abar­can­do una de ca­rác­ter crí­ti­co, cinco altas, ca­tor­ce in­ter­me­dias y cua­tro de menor im­pac­to.

La ex­plo­ta­ción de estos fa­llos de se­gu­ri­dad po­dría dar lugar a di­ver­sas con­se­cuen­cias per­ju­di­cia­les, tales como la eje­cu­ción de có­di­go de ma­ne­ra re­mo­ta, el ac­ce­so in­de­bi­do a datos re­ser­va­dos, la vul­ne­ra­ción de los me­ca­nis­mos de au­to­ri­za­ción, la eje­cu­ción de có­di­go Ja­vaS­cript en las se­sio­nes de otros usua­rios o la eje­cu­ción de ata­ques de fal­si­fi­ca­ción de so­li­ci­tu­des del lado del ser­vi­dor (SSRF). Entre los pro­ble­mas es­pe­cí­fi­cos se in­clu­ye una falla por des­bor­da­mien­to de en­te­ros en el com­pi­la­dor de ex­pre­sio­nes re­gu­la­res de las con­fi­gu­ra­cio­nes de CI/CD, iden­ti­fi­ca­da como CVE-2026-97229, la cual per­mi­ti­ría a un ata­can­te re­mo­to sin au­ten­ti­ca­ción lo­grar la eje­cu­ción de có­di­go ar­bi­tra­rio en el ser­vi­dor me­dian­te el uso de una ex­pre­sión re­gu­lar al­te­ra­da.

Para mi­ti­gar estos ries­gos, se acon­se­ja la ac­tua­li­za­ción de las ver­sio­nes afec­ta­das de GitLab Com­mu­nity Edi­tion y En­ter­pri­se Edi­tion hacia las edi­cio­nes más re­cien­tes que ya in­cor­po­ran las co­rrec­cio­nes ne­ce­sa­rias. En cuan­to a las pla­ta­for­mas ges­tio­na­das, los ser­vi­do­res de GitLab.com ya ope­ran con la ver­sión re­pa­ra­da y los usua­rios del ser­vi­cio GitLab De­di­ca­ted no ne­ce­si­tan eje­cu­tar nin­gu­na ges­tión adi­cio­nal.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el resto de las vul­ne­ra­bi­li­da­des men­cio­na­das ni sobre los nom­bres de los in­ves­ti­ga­do­res que las des­cu­brie­ron.