Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: angličtina.

[TLP:CLEAR] GitLab opravuje zraniteľnosť s vysokou závažnosťou

GitLab opravuje zraniteľnosť s vysokou závažnosťou v GitLab Community Edition a Enterprise Edition vo verziách 19.5.4, 19.4.6 a 19.3.8. Dôležité usmernenia pre samostatne kompilované inštalácie GitLab nájdete tu [1]. Upozorňujeme tiež na predchádzajúce vydanie verzií (19.5.3, 19.4.5, 19.3.7, 19.2.10, 19.1.10, 19.0.11, 18.11.14), ktoré odstránilo dôveru voči ôsmim kompromitovaným certifikátom sprostredkujúcej CA eMudhra. Ak používate samohostovanú verziu Runners alebo AI Gateway, musíte tieto komponenty tiež aktualizovať na najnovšie verzie [2].

GitLab – RCE (CVE-2026-105437)
CVSS 7.5 (High)

Neautentizovaný vzdialený útočník je za určitých podmienok schopný vykonať ľubovoľné príkazy v prostredí Gitaly v GitLabe tým, že odošle špeciálne upravený obsah repozitára (napr. vetvu v merge requeste), ktorého trojcestné zlúčenie vykonané na serveri spustí pretečenie vyrovnávacej pamäte založené na halde v Git [1][3]. Podrobnosti o detekcii pokusov o zneužitie tejto zraniteľnosti nájdete tu [4].

Zraniteľnosť sa nachádza v produkte:

  • GitLab; >=16.2, <19.3.8; >=19.4, <19.4.6; >=19.5, <19.5.4;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 11. 2026.

Za CESNET, z.s.p.o. Martin Krajči dňa 11. 11. 2026.

CESNET, z.s.p.o. Logo