Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: angličtina.

[TLP:CLEAR] GitLab opravuje vysoce závažnou zranitelnost

GitLab opravuje vysoce závažnou zranitelnost v GitLab Community Edition a Enterprise Edition ve verzích 19.5.4, 19.4.6 a 19.3.8. Důležité pokyny pro vlastnoručně sestavené instalace GitLabu naleznete zde [1]. Upozorňujeme také na předchozí vydání verzí (19.5.3, 19.4.5, 19.3.7, 19.2.10, 19.1.10, 19.0.11, 18.11.14), které odstranilo důvěru v osm kompromitovaných zprostředkujících CA certifikátů eMudhra. Pokud používáte self-hosted verzi Runners nebo AI Gateway, musíte tyto komponenty také aktualizovat na nejnovější verze [2].

GitLab - RCE (CVE-2026-105437)
CVSS 7.5 (High)

Neautentizovaný vzdálený útočník je za určitých podmínek schopen spustit libovolné příkazy v prostředí Gitaly v GitLabu tím, že odešle speciálně upravený obsah repozitáře (např. větev v merge requestu), jehož třícestné sloučení provedené na serveru spustí přetečení vyrovnávací paměti založené na haldě v Gitu [1][3]. Podrobnosti o detekci pokusů o zneužití této zranitelnosti lze nalézt zde [4].

Zranitelnost se nachází v produktu:

  • GitLab; >=16.2, <19.3.8; >=19.4, <19.4.6; >=19.5, <19.5.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 10. 11. 2026.

Za CESNET, z.s.p.o. Martin Krajči dne 11. 11. 2026.

CESNET, z.s.p.o. Logo