Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases
The Hacker News · 21 oct, 20:57
GitLab publicó el 21 de octubre correcciones para una vulnerabilidad crítica (CVE-2026-110264, CVSS 10.0) que permite ejecución remota de código sin autenticación en servidores autogestionados. El fallo afecta a todas las versiones desde 7.0 (2014) debido a un desbordamiento de enteros en el compilador de expresiones regulares Onigmo embebido en GitLab. Aunque no hay reportes de explotación activa, GitLab ha distribuido parches para siete ramas de versiones simultáneamente, incluyendo versiones fuera de su política de parcheo habitual.
La vulnerabilidad reside en el motor de expresiones regulares Ruby (Onigmo) que GitLab incluye y parchea en sus propios paquetes. Un desbordamiento de enteros durante la compilación de una expresión regular especialmente diseñada permite ejecutar código arbitrario en el servidor bajo ciertas condiciones no reveladas por GitLab. El fallo afecta todas las versiones desde 7.0 (2014) porque Onigmo ha estado presente en todas las distribuciones.
GitLab distribuye parches para versiones 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 y 18.11.13. Las cuatro últimas superan la política habitual de parcheo que cubre solo la versión actual y las dos anteriores mensuales. Las instalaciones de GitLab.com y GitLab Dedicated ya ejecutan versiones corregidas. Este es el cuarto fallo de ejecución de código en el compilador de expresiones regulares reportado por el investigador joaxcar en un mes. GitLab también publicó dos reglas de detección Sigma en su framework TLDR, aunque no hay workarounds disponibles hasta aplicar el parche.
Puntos clave
- Actualiza a versión 18.11.13 o posterior si ejecutas versiones 7.0 a 18.11, o a la versión indicada para 19.x
- CVSS 10.0, sin evidencia de explotación activa ni listado en CISA KEV hasta 22 de octubre
- El fallo requiere condiciones no especificadas, sin posibilidad de mitigación por configuración
- Las versiones 19.4.3 y 19.3.6 incluyen cambios de base de datos que causan downtime en servidores monouso