GitLab’da 12 Yıllık Sürümleri Kapsayan Kritik Açık (CVSS 10.0): Kimlik Doğrulamasız RCE İmkanı.

Görsel Kaynağı: The Hacker News

GitLab, 21 Ekim’de, saldırganın giriş yapmadan bir özelleştirilen sunucuda kod çalıştırmasına olanak tanıyan bir açığı giderdi ve bu açık, 2014’te yayımlanan 7.0 sürümünden beri yazılımın her sürümünü etkiliyor.

Güncelleme, dokuz gün önce yama yapan yöneticiler için de önemli: 12 Ekim güncellemesi yalnızca 19.2 ve sonr sürümleri kapsıyordu ve yeni düzeltilmiş sürümler bunun bir yama üstünde yer alıyor, dolayısıyla o zaman güncellenen bir örneğin aralığı tekrar içinde.

Açık, CVE-2026-110264 numarasıyla izleniyor ve CVSS ölçeğinde maksimum olan 10.0 puanıyla derecelendiriliyor. GitLab, belirli koşullar altında, özel olarak hazırlanmış bir düzenli ifadenin derlenmesi sırasında meydana gelen bir tamsayı taşması nedeniyle kimliği doğrulanmamış bir kullanıcının sunucuda keyfi kod çalıştırmasına olanak tanıyabileceğini belirtiyor; ancak bu koşulların ne olduğu konusunda bir bilgi vermiyor.

Şirket, açığın saldırılarda kullanıldığına dair bir işaret raporlamıyor ve 22 Ekim itibarıyla ABD‘nin bilinen sömürülen açıklar kataloğu CISA listesinde yer almıyor.

Sadece özelleştirilen kurulumların harekete geçmesi gerekiyor. GitLab.com zaten düzeltilmiş sürümü çalıştırıyor ve GitLab Dedicated kiracıları, dahili 19.3.5-internal0 ve 19.4.2-internal0 ya da sonr sürümlerde zaten yamaya sahip. GitLab açığı aynı anda yedi sürümde düzeltti.

Aşağıdaki tablo, her yayımlama dalını onu düzelten sürümle eşliyor.

Bu sürümlerden dördü, GitLab’ın genellikle yamaladığından daha eski. Şirketin politikası, güncel sürümü ve önceki iki aylık sürümü kapsar; bunlar bugün itibarıyla 19.5, 19.4 ve 19.3’tür.

GitLab, bu düzeltmeyi standart sürümlerinin üzerine 18.11.13, 19.0.10, 19.1.9 ve 19.2.9 sürümlerine geriye dönük olarak yerleştirdiğini belirtti; bu adımı yalnızca ciddi sorunlar için saklar.

Sorunun bu kadar geriye gitmesinin nedeni, GitLab’ın arızalanan bölümüdür. Düzenli ifade derleyicisi, GitLab’ın kendi paketlerinin içine yerleştirdiği ve kendi derlemelerinde yamaladığı, Ruby’nin yerleşik motoru olan Onigmo’dur. Bu motordaki bir zayıflık, GitLab’ın onu her yerleştirdiği yerde mevcuttur; bu da 7.0’dan beri çıkan her sürümdür.

GitLab ayrıca, kendi kendine yönetilen yöneticilerin sömürü girişimlerini aramalarına yardımcı olmak için iki tespit kuralı yayımladı: “Onigmo native worker çökmesi” ve “Org modu render hatası patlaması” adlı bu kurallar, şirketin açık kaynak TLDR çerçevesinin parçasıdır; her tespiti GitLab’ın kendi uygulama günlüklerine karşı Sigma formatında yazar.

GitLab, saldırganın derleyiciye ulaşması için gereken ön koşulları belirtmedi; bu nedenle yöneticiler kendilerini yapılandırmayla elememekte zorlanırlar. Tek kesin koruma düzeltmedir ve GitLab’ın uyarısı ara çözüm sunmamaktadır.

Bu, aynı araştırmacı (joaxcar takma adını kullanan) bir ay içinde GitLab’ın düzenli ifade motorunda bildirdiği dördüncü kod çalıştırma açığıdır ve 19.2’den önceki sürümlere ulaşan ilk açıktır.

12 Ekim’de GitLab, 19.2.8, 19.3.5 ve 19.4.2 sürümlerinde, düzenli ifade derleyicisindeki aynı tür kimliksiz 10.0 taşması olan CVE-2026-97229’u düzeltti. 23 Eylül’de ise ikisini daha, her ikisi de 9.9 puanlı ancak giriş yapmış bir hesap gerektiren CVE-2026-93577 ve CVE-2026-89078’u düzeltti. Üç önceki açık 19.2 sürümünde sona eriyordu; bu öyle değil.

21 Ekim sürümü, toplamda 11 güvenlik açığını düzeltiyor; biri kritik, gerisi yüksek, orta veya düşük puanlı.

Bunlardan ikisi kimlik doğrulamayla ilgilidir. 8.2 ile yüksek puanlanan CVE-2026-15723, kimlik doğrulaması yapan bir kullanıcının başka bir hesabı ele almasına olanak tanıyabilir; ancak yalnızca bir yönetici hem SAML hem de LDAP otomatik bağlantısını etkinleştirdiğinde.

GitLab’ın OAuth ve OpenID Connect uç noktalarındaki bir önbellek zehirlenmesi açığı, CVE-2026-112212, yüksek seviye olarak 7.5 ile derecelendirilmiş ve paylaşımlı önbellek kullanılan ortamlarda saldırganın belirli giriş akışlarını kendi kontrol ettiği bir sunucuya yönlendirmesine olanak tanıyabilir.

Güncelleme, planlanması gereken bir maliyet taşıyor. 19.4.3 ve 19.3.6 sürümleri, güncelleme sırasında çalışan veritabanı değişiklikleri içeriyor ve tek düğüm sunucusunda bu, işlemler tamamlanana kadar kesinti anlamına geliyor. GitLab, çok düğüm ortamlarının sıfır kesinti prosedürünü kullanarak yamayı kesintisiz uygulayabileceğini belirtiyor.