Cảnh báo: Lỗ hổng RCE trên GitLab cho phép thực thi mã từ xa, cần cập nhật ngay

Các nhà nghiên cứu bảo mật tại depthfirst vừa công bố mã khai thác (PoC) cho một lỗ hổng nghiêm trọng trên GitLab, cho phép kẻ tấn công thực thi mã từ xa (RCE) với quyền của tài khoản git. Đáng chú ý, lỗ hổng này ảnh hưởng đến các máy chủ tự quản lý (self-managed) chưa được cập nhật bản vá từ ngày 10/06/2026.

Chi tiết về lỗ hổng

Kẻ tấn công chỉ cần là một người dùng đã xác thực và có quyền đẩy (push) code vào dự án. Bằng cách gửi một tệp Jupyter notebook đã được tinh chỉnh, kẻ tấn công có thể khai thác các lỗi hỏng hóc bộ nhớ trong thư viện Oj (một trình phân tích cú pháp JSON cho Ruby). Chuỗi khai thác này cho phép rò rỉ con trỏ heap, xác định vị trí thư viện trong bộ nhớ và cuối cùng là thực thi lệnh hệ thống mà không cần quyền quản trị viên hay tương tác từ nạn nhân.

Điểm đáng lo ngại là GitLab đã không liệt kê bản sửa lỗi này trong danh mục bảo mật khi phát hành bản vá vào tháng 6. Thay vào đó, nó chỉ xuất hiện như một bản cập nhật bug fix thông thường cho thư viện Oj (phiên bản 3.17.3). Điều này khiến nhiều quản trị viên hệ thống bỏ qua mức độ nghiêm trọng của lỗ hổng vì không có CVE hay điểm CVSS cụ thể.

Các phiên bản bị ảnh hưởng

Lỗ hổng này ảnh hưởng đến nhiều phiên bản GitLab CE/EE, bao gồm:

• GitLab CE/EE 15.2.0 đến 18.10.7 (Cần cập nhật lên 18.10.8)
• GitLab CE/EE 18.11.0 đến 18.11.4 (Cần cập nhật lên 18.11.5)
• GitLab CE/EE 19.0.0 đến 19.0.1 (Cần cập nhật lên 19.0.2)

Khuyến nghị

Người dùng các phiên bản GitLab tự quản lý cần kiểm tra ngay phiên bản đang chạy trong image Webservice (không chỉ dựa vào phiên bản của chart hoặc Operator). Hiện tại, không có giải pháp thay thế nào ngoài việc nâng cấp lên các phiên bản đã được vá. Việc thực thi mã thành công có thể giúp kẻ tấn công truy cập vào mã nguồn, thông tin xác thực (credentials), dữ liệu CI/CD và các dịch vụ nội bộ khác tùy thuộc vào cấu hình cô lập của hệ thống.

Nguồn tham khảo: The Hacker News