GitLab phát hành bản vá khẩn cấp cho lỗ hổng CVSS 10.0 cho phép thực thi mã từ xa

GitLab vừa chính thức phát hành các bản vá bảo mật quan trọng cho cả hai phiên bản Community Edition (CE) và Enterprise Edition (EE) nhằm khắc phục một lỗ hổng có mức độ nghiêm trọng cao nhất, có khả năng dẫn đến việc thực thi mã tùy ý (arbitrary code execution).

Theo thông báo từ hãng, lỗ hổng này được định danh là CVE-2026-97229, với điểm CVSS đạt mức tối đa 10.0. Vấn đề xuất phát từ lỗi tràn số nguyên (integer overflow) kết hợp với việc xác thực biểu thức chính quy (regular expression) không đầy đủ trong cấu hình CI/CD. Điều này cho phép một kẻ tấn công không cần xác thực có thể lợi dụng các biểu thức được thiết kế đặc biệt để thực thi mã trên server GitLab.

Các phiên bản bị ảnh hưởng bao gồm:

• Từ 19.2 đến trước 19.2.8
• Từ 19.3 đến trước 19.3.5
• Từ 19.4 đến trước 19.4.2

Người dùng được khuyến nghị cập nhật ngay lên các phiên bản 19.4.2, 19.3.5 hoặc 19.2.8 để loại bỏ rủi ro.

Ngoài lỗ hổng nghiêm trọng nêu trên, bản cập nhật lần này cũng xử lý ba lỗ hổng khác có mức độ nguy hiểm cao:

• CVE-2026-92883 (CVSS 8.7): Lỗ hổng Cross-site scripting (XSS) cho phép người dùng đã xác thực thực thi JavaScript tùy ý trong phiên làm việc của người dùng khác thông qua repository được tạo sẵn.
• CVE-2026-16301 (CVSS 8.5): Lỗi phân quyền trong dịch vụ tạo pipeline hạ nguồn, cho phép người dùng có vai trò Developer thực thi CI/CD pipeline trên các nhánh được bảo vệ (protected branches).
• CVE-2026-14814 (CVSS 8.2): Lỗ hổng liên quan đến biểu thức chính quy cho phép người dùng làm nhiễm độc (poison) bộ nhớ đệm phản hồi cho các file repository thô, từ đó khiến pipeline của người dùng mục tiêu thực thi nội dung độc hại và làm lộ các biến môi trường được bảo vệ.

Việc phát hiện và vá lỗi này diễn ra trong bối cảnh GitLab liên tục phải đối mặt với các đợt tấn công nhắm vào hạ tầng CI/CD và các tính năng AI gần đây. Các quản trị viên hệ thống cần ưu tiên kiểm tra phiên bản hiện tại và thực hiện quy trình patch sớm nhất có thể để đảm bảo an toàn cho hạ tầng DevOps của doanh nghiệp.

Nguồn tham khảo: The Hacker News