GitLab'dagi CVE-2026-97229 zaifligi real hujumlarda qo'llanmoqda

AQShning Kiberxavfsizlik va infratuzilma xavfsizligi agentligi (CISA) GitLab platformasidagi kritik darajadagi xavfsizlik zaifligi allaqachon real kiberhujumlarda foydalanila boshlanganini tasdiqladi. Ushbu muammo CVE-2026-97229 indeksi ostida kuzatilmoqda.

Qisqacha: - CVE-2026-97229 zaifligi maksimal darajadagi xavfli deb topildi. - Muammo CI/CD Regular Expression Compiler komponentida aniqlandi. - CISA uni KEV katalogiga kiritib, zudlik bilan yamoq o'rnatishni talab qildi.

Zaiflikning kelib chiqishi va xavfi Kritik darajadagi xavfsizlik kamchiligini 'joaxcar' taxallusi ostidagi tadqiqotchi aniqlagan. Xatolik CI/CD quvurlarini sozlash fayllaridagi muntazam ifodalarni tahlil qiluvchi, tuzuvchi va baholovchi Regular Expression Compiler qismida yuzaga keladi. Bu holat butun sonning to'lib ketishi va ifodalarni yetarlicha tekshirmaslik oqibatida kelib chiqadi. Natijada, maxsus tayyorlangan muntazam ifoda yordamida autentifikatsiyadan o'tmagan tajovuzkorlar zaif GitLab serverida ixtiyoriy kodni masofadan turib bajarish imkoniyatiga ega bo'ladilar. Bu esa kompaniyalarning butun infratuzilmasini xavf ostiga qo'yadi.

Ishlab chiquvchilarning munosabati va ko'rilgan choralar GitLab jamoasi mazkur muammoni Community Edition (CE) va Enterprise Edition (EE) 19.4.2, 19.3.5 hamda 19.2.8 versiyalarida bartaraf etdi va administratorlarni serverlarni darhol yangilashga chaqirdi. Shuningdek, o'zini o'zi boshqaradigan serverlar uchun tahdidlarni aniqlash vositalari ham taqdim etildi. CISA ushbu xavfni o'zining faol foydalanilayotgan zaifliklar katalogiga kiritdi va federal idoralarga o'z tarmoqlarini himoya qilishni buyurdi. Shadowserver xizmati internetda minglab himoyalanmagan GitLab nusxalari mavjudligini qayd etgan.

Biznes va xavfsizlik uchun ahamiyati GitLab platformasidan dunyo bo'ylab 70 milliondan ortiq foydalanuvchi va Fortune 100 kompaniyalarining yarmidan ko'pi foydalanadi. Yil boshidan buyon kompaniya bir nechta jiddiy zaifliklarni, jumladan ikki bosqichli autentifikatsiyani chetlab o'tish va API xatolarini tuzatgan edi. Mutaxassislar barcha xususiy va davlat sektoridagi xavfsizlik guruhlariga hujumlarning oldini olish uchun zudlik bilan so'nggi yangilanishlarni o'rnatishni tavsiya qiladilar. Aks holda maxfiy ma'lumotlar sizib chiqishi xavfi yuqori bo'lib qolmoqda.