GitLab-ийн 10.0 оноотой цоорхой нэвтрэхгүйгээр код ажиллуулна

2026 оны аравдугаар сарын 19 20:00|Зохиогч: QUASA редакцын баг|4 мин уншина

GitLab 2026 оны 10 дугаар сарын 12-ны засварын мэдэгдэлдээ Community Edition (CE), Enterprise Edition (EE)-ийн 19.4.2, 19.3.5, 19.2.8 хувилбаруудыг гаргаж, CVE-2026-97229 эмзэг байдлыг CVSS 10.0 гэж үнэлэв. Энэ цоорхой тодорхой нөхцөлд нэвтрэх эрхгүй этгээд тусгайлан бэлтгэсэн CI/CD regular expression ашиглан GitLab сервер дээр дурын код ажиллуулах боломж олгодог. Өөрөө байршуулсан инстанц ажиллуулдаг баг суусан салбарынхаа засварласан хувилбар руу шинэчлэх шаардлагатай.

CERT.LV 2026 оны 10 дугаар сарын 13-ны анхааруулгадаа өртөх хүрээ нь CE, EE хоёуланд адил бөгөөд 19.2 салбарт 19.2.8, 19.3 салбарт 19.3.5, 19.4 салбарт 19.4.2 хүртэл яаралтай шинэчлэхийг зөвлөсөн. GitLab.com аль хэдийн засварласан хувилбараар ажиллаж, Dedicated орчныг засварын мэдэгдэл нийтлэгдэхээс өмнө дотоод хувилбараар шинэчилсэн; өөрийн серверийн шинэчлэлтийг байгууллагууд өөрсдөө хариуцна. Суусан хувилбараа харгалзах салбарын заагтай тулгах нь аль patch-ийг сонгохыг шийднэ.

CE, EE-ийн өртөх хувилбарын зааг

Цоорхойн нөлөөлөх хүрээ нь салбар бүрийн засварын дугаараар тодорхойлогдоно. Нэг салбарын patch дугаарыг нөгөөгийнхтэй харьцуулж болохгүй: 19.2 салбарын серверт 19.3 эсвэл 19.4-ийн босгыг хэрэглэвэл буруу дүгнэлтэд хүрнэ. Community Edition ашигладаг эсэх, Enterprise Edition ашигладаг эсэх нь энэ CVE-ийн заагийг өөрчлөхгүй.

19.2 салбар: 19.2.8-аас өмнөх хувилбарууд өртсөн; засвар нь 19.2.8.
19.3 салбар: 19.3.5-аас өмнөх хувилбарууд өртсөн; засвар нь 19.3.5.
19.4 салбар: 19.4.2-оос өмнөх хувилбарууд өртсөн; засвар нь 19.4.2.

Энэ ангилал суусан хувилбарыг шууд уншихад зориулагдсан. Жишээлбэл, 19.3 салбарт ажиллаж буй инстанц 19.3.4 дээр байсан ч уг CVE-ийн өртөх хүрээнд хэвээр орно; энэ тохиолдолд зорилтот patch нь 19.3.5. Харин 19.2-оос өмнөх салбарууд дээр ажиллаж байгаа бол зөвхөн энэ эмзэг байдлын жагсаалтаар бүх аюулгүй байдлыг нь дүгнэж болохгүй. Тэдгээр орчны шинэчлэлтийн зам, шаардлагатай завсрын хувилбар нь тусдаа төлөвлөлт шаарддаг.

CI/CD-ийн regular expression яагаад серверт эрсдэл үүсгэв

Алдааны гол нь CI/CD тохиргоонд орсон regular expression-ийг шалгаж, боловсруулах үе шатанд байна. Хангалтгүй шалгалтын улмаас regular expression хөрвүүлэгчид бүхэл тооны хэтрэлт үүсэх боломжтой байсан. Тусгайлан бэлтгэсэн илэрхийлэл тодорхой нөхцөл бүрдэхэд энэ боловсруулалтаар дамжин GitLab сервер дээр дурын код ажиллуулах үр дагаварт хүрч болзошгүй.

Энд яригдаж буй үр дагавар нь зөвшөөрөгдсөн CI job дотор ердийн скрипт ажиллуулахтай адил зүйл биш. Код GitLab серверийн талд ажиллах боломж үүссэн нь репозиторийг хадгалж, хэрэглэгчийн хүсэлтийг боловсруулдаг орчинд нөлөөлөх учраас операторын хувьд чухал. «Нэвтрэхгүйгээр» гэсэн нөхцөл нь GitLab хэрэглэгчээр баталгаажих эрх шаардлагагүйг илэрхийлнэ; мэдэгдэлд энэ боломж тодорхой нөхцөлд үүснэ гэж заасан. CVSS 10.0 нь эмзэг байдлын ноцтой байдлын үнэлгээ бөгөөд бодит халдлагын тоо, аль нэг байгууллага өртсөнийг хэмжсэн үзүүлэлт биш.

Эмзэг байдлыг joaxcar нэрээр танигдсан судлаач GitLab-ийн HackerOne bug bounty хөтөлбөрөөр мэдээлсэн. Нийтлэгдсэн мэдэгдэл бодит орчинд ашигласан халдлагын тоо дурдсангүй.

19.3.4 бус 19.3.5-ыг сонгох шалтгаан

19.3 салбарт 19.3.4 нь эцсийн шинэчлэлтийн зорилт биш. Энэ хувилбар өөрөө CVE-2026-97229-ийн өртөх хязгаарт багтдаг. Нэмж хэлэхэд, Ona интеграцыг идэвхжүүлсэн үед 19.3.4-ийн merge request хуудсанд алдаа гардаг байсан бөгөөд 19.3.5 үүнийг зассан.

Хуучин багцын кэш эсвэл дотоод өөрчлөлтийн төлөвлөгөөнд 19.3.4 гэж үлдсэн бол дугаарыг 19.3.5 болгон засах нь аюулгүй байдлын болон ажиллагааны аль алинд хамаарна. Ona интеграц ашигладаг багт merge request хуудасны алдаа илүү шууд мэдрэгдэнэ. Харин тэр интеграцыг ашигладаггүй байсан ч 19.3.4-ийг энэ CVE-ийн засвар гэж үзэх үндэсгүй: үйлдвэрлэгчийн өртөх зааг 19.3.5-аас өмнөх бүх хувилбарыг хамардаг.

Backup болон maintenance цонхыг яаж бэлтгэх вэ

Энэ patch өгөгдлийн сангийн migration агуулдаг тул шинэчлэлтийн хугацааг зөвхөн багц суулгах хугацаагаар тооцож болохгүй. Нэг зангилаатай инстанцад migration дуусахаас өмнө GitLab эхлэхгүй учраас үйлчилгээ тасалдана. Олон зангилаатай суурилуулалтад зориулалтын zero-downtime дарааллыг зөв мөрдвөл тасалдалгүй шинэчлэх боломжтой. Мөн 19.3.5-д суулгалтын дараа үргэлжлэх migration багтсан нь ажил бүрэн дууссаныг шалгахдаа анхаарах нөхцөл юм.

GitLab-ийн шинэчлэлтийн бэлтгэлийн заавар нь нөөцлөлт, буцаах төлөвлөгөө, background migration болон шинэчлэлтийн өмнөх ба дараах ажиллагааны шалгалтыг хамардаг. Яаралтай patch хийх хэрэгцээ нь эдгээрийг алгасах шалтгаан биш: сэргээх боломжгүй нөөц эсвэл дуусаагүй migration нь үйлчилгээ сэргээх хугацааг сунгаж болно. Өөрөө байршуулсан орчинд maintenance цонхыг дараах ажлын бодит хугацаанд тулгуурлан тогтооно.

Суусан орчноо бүртгэ. CE эсвэл EE хувилбар, суулгалтын арга, зангилааны бүтэц, Geo зэрэг нэмэлт бүрэлдэхүүнийг тэмдэглэ. Зорилтот patch-д хүрэхийн өмнө заавал дайрах завсрын хувилбар байгаа эсэхийг шинэчлэлтийн замаас тогтоо. Олон зангилаатай орчинд бүх бүрэлдэхүүний дараалал адилхан гэж таамаглаж болохгүй.
Нөөц болон буцаах замаа бэлд. GitLab-ийн өгөгдлийн backup эсвэл тохирох snapshot үүсгэж, тохиргоо болон secrets файлыг хамт хадгал. Олон зангилаатай суурилуулалт snapshot ашиглавал зангилаа бүрийг хамруулах шаардлагатай. Сэргээх үед backup болон сэргээж буй GitLab-ийн хувилбар таарах ёстойг буцаах төлөвлөгөөндөө тусга.
Migration ба тасалдлын хугацааг тооц. Одоо үргэлжилж буй background migration дууссан эсэхийг шинэчлэлт бүрийн өмнө шалга. Нэг зангилаатай серверийн зогсолтыг хэрэглэгчдэд урьдчилан мэдэгдэж, олон зангилаатай бол zero-downtime журмын өөрийн дарааллыг дага. 19.3.5-ын post-deploy migration-ийг багц суулгаснаар дууссан гэж тооцохгүй.
Гол ажиллагааг хоёр талд нь тулга. Шинэчлэлтийн өмнө болон дараа нэвтрэх, repository татах ба commit илгээх, merge request нээх, runner ажил хүлээн авах үйлдлийг шалга. Ингэснээр GitLab ассан ч кодын хамтын ажиллагаа эсвэл CI/CD-ийн ажил доголдсон эсэхийг харж болно. Хэрэв сэргээх шаардлага гарвал нөөц, тохиргоо, secrets файлыг ижил төлөвт буцаах ёстой.

Мөн уншаарай:

Хуваалцах: