गिटलैब में गंभीर त्रुटि CVE-2026-110264: CVSS 10.0 रेटिंग और 2014 तक के संस्करण प्रभावित

गिटलैब ने एक गंभीर सुरक्षा त्रुटि (CVE-2026-110264) को ठीक करने के लिए अपडेट जारी किए हैं, जिसे अधिकतम CVSS स्कोर 10.0 दिया गया है। कंपनी की सलाह के अनुसार, यह खामी कुछ निश्चित परिस्थितियों में एक अप्रमाणित हमलावर को सेल्फ-मैनेज्ड सर्वर पर मनमाना कोड निष्पादित करने की अनुमति दे सकती है। यह समस्या रूबी के अंतर्निहित Onigmo इंजन का उपयोग करके एक विशेष रूप से तैयार नियमित अभिव्यक्ति (regular expression) के संकलन के दौरान पूर्णांक ओवरफ्लो (integer overflow) के कारण उत्पन्न होती है।

दायरा और प्रभाव

• प्रभावित संस्करण: वर्ष 2014 में जारी संस्करण 7.0 से लेकर अब तक के सभी संस्करण।
• तैनाती की स्थिति: GitLab.com और निर्दिष्ट आंतरिक रिलीज़ चलाने वाले GitLab Dedicated टेनेंट्स में पहले से ही सुधार शामिल है। केवल सेल्फ-मैनेज्ड इंस्टॉलेशन को मैन्युअल रूप से अपडेट लागू करने की आवश्यकता है।
• हमले की स्थिति: गिटलैब ने सक्रिय शोषण का कोई प्रमाण नहीं बताया है, और 22 अक्टूबर तक यह कमजोरी अमेरिकी CISA की ज्ञात शोषित कमजोरियों की सूची में शामिल नहीं थी।

पैच विवरण और बैकपोर्टिंग

21 अक्टूबर का सुरक्षा रिलीज़ एक साथ सात अलग-अलग संस्करणों में इस खामी को दूर करता है। चूँकि यह कमज़ोरी गिटलैब की मानक समर्थन नीति से कहीं पुराने सॉफ्टवेयर शाखाओं को प्रभावित करती है—जो सामान्यतः केवल वर्तमान रिलीज़ और पिछले दो मासिक संस्करणों (19.5, 19.4 और 19.3) को कवर करती है—कंपनी ने 18.11.13, 19.0.10, 19.1.9 और 19.2.9 सहित पुराने बिल्ड्स के लिए भी इस फिक्स को बैकपोर्ट किया है।

जिन प्रशासकों ने पिछले अपडेट के लिए 12 अक्टूबर को पैच लागू किया था, उन्हें फिर से अपडेट करना होगा, क्योंकि वे पिछले फिक्स केवल संस्करण 19.2 और बाद के संस्करणों को कवर करते थे।

शमन और सत्यापन

• कोई वर्कअराउंड नहीं: गिटलैब ने कोई अंतरिम कॉन्फ़िगरेशन वर्कअराउंड प्रदान नहीं किया है, जिससे तत्काल पैचिंग ही एकमात्र निश्चित सुरक्षा उपाय बनती है।
• डिटेक्शन नियम: प्रशासकों को शोषण के प्रयासों के लिए लॉग की निगरानी करने में मदद करने के लिए गिटलैब ने अपने TLDR फ्रेमवर्क के भीतर सिग्मा प्रारूप का उपयोग करके "Onigmo native worker crash" और "Org mode render error burst" नामक दो ओपन-सोर्स डिटेक्शन नियम प्रकाशित किए हैं।
• अपग्रेड विचार: संस्करण 19.4.3 और 19.3.6 के अपग्रेड में डेटाबेस माइग्रेशन शामिल हैं। सिंगल-नोड सर्वर को प्रक्रिया के दौरान डाउनटाइम का सामना करना पड़ेगा, जबकि मल्टी-नोड आर्किटेक्चर ज़ीरो-डाउनटाइम प्रक्रियाओं का उपयोग कर सकते हैं।

घोषणाओं को सत्यापित करने और अपडेट लागू करने के लिए, प्रशासकों को आधिकारिक गिटलैब सुरक्षा सलाह से परामर्श करना चाहिए और प्रदान किए गए डिटेक्शन नियमों का उपयोग करके एप्लिकेशन लॉग की समीक्षा करनी चाहिए।