Origine : bjCSIRT
Numéro : 2026/ALERTE/133
APERÇU :
GitLab Community Edition (CE) et Enterprise Edition (EE) sont des plateformes de gestion de cycle de vie DevOps permettant l’hébergement de dépôts de code source, la collaboration et l’intégration/déploiement continus (CI/CD).
Ce produit est affecté par une vulnérabilité libellée CVE-2026-110264, due à un dépassement de capacité d’un entier (integer overflow) au niveau du moteur de compilation des expressions régulières Onigmo utilisé par Ruby. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant d’accéder aux données sensibles hébergées, notamment aux dépôts de code source et aux secrets CI/CD et d’exécuter du code arbitraire à distance sur le serveur GitLab vulnérable.
Cette vulnérabilité est classée critique avec un score de sévérité de 10 selon le CVSS v3.1.
IMPACT
- Exécution de code arbitraire à distance ;
- Atteinte à la confidentialité des données et des dépôts de code source ;
- Modification ou suppression non autorisée de données ;
- Atteinte à l’intégrité du système et des données ;
- Atteinte à la disponibilité des données.
SYSTEMES AFFECTÉS
- GitLab versions 7.0 à 18.11.x, antérieures à la version 18.11.13 ;
- GitLab versions 19.0.x, antérieures à la version 19.0.10 ;
- GitLab versions 19.1.x, antérieures à la version 19.1.9 ;
- GitLab versions 19.2.x, antérieures à la version 19.2.9 ;
- GitLab versions 19.3.x, antérieures à la version 19.3.6 ;
- GitLab versions 19.4.x, antérieures à la version 19.4.3 ;
- GitLab versions 19.5.x, antérieures à la version 19.5.1.
MESURES À PRENDRE :
Mettre à jour les versions de GitLab CE/EE vers les versions corrigées correspondant à leur branche, ou vers une version ultérieure prise en charge.
RÉFÉRENCES :