Node.js wydaje poprawki. Luka w dekompresji Brotli może umożliwić wykonanie kodu
Aktualizacje Node.js 22, 24 i 26 usuwają luki w dekompresji, DNS i sprawdzaniu certyfikatów. Dostępne są wersje 22.23.4, 24.22.1 oraz 26.12.1.
Podatności
GitLab usuwa krytyczną lukę. Zagrożone także starsze instalacje CE i EE
GitLab wydał pilne poprawki luki CVE-2026-110264, która może pozwolić na wykonanie kodu bez logowania. Administratorzy własnych instalacji powinni ponownie sprawdzić wersje.
GitLab 21 października opublikował poprawki CVE-2026-110264 — krytycznej luki ocenionej na 10,0 w skali CVSS. W określonych warunkach umożliwia ona wykonanie dowolnego kodu na serwerze przez osobę bez konta. Producent zaleca natychmiastową aktualizację samodzielnie utrzymywanych instalacji.
Co się stało
Problem dotyczy przepełnienia liczby całkowitej podczas kompilowania specjalnie przygotowanego wyrażenia regularnego. Zakres podatnych wydań zaczyna się od GitLab 7.0. To oznacza, że kontrola wyłącznie najnowszych serwerów nie wystarczy — trzeba uwzględnić również starsze instancje wykorzystywane przez zespoły i dostawców.
GitLab udostępnił poprawkę także dla części starszych gałęzi. Usunięcie tej konkretnej luki nie oznacza jednak przywrócenia im pełnego wsparcia bezpieczeństwa. Wcześniejsze październikowe aktualizacje również nie zastępują obecnego wydania.
Kogo dotyczy aktualizacja
Poprawione wersje to 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 oraz 18.11.13. Dotyczy to GitLab Community Edition i Enterprise Edition. Należy dobrać wydanie i ścieżkę aktualizacji zgodnie z dokumentacją producenta.
GitLab.com działa już z poprawką. Producent wskazuje również odpowiednie wewnętrzne wydania GitLab Dedicated jako zabezpieczone. Sam fakt korzystania z usługi zarządzanej trzeba jednak potwierdzić, zamiast zakładać go na podstawie nazwy serwera.
Co zrobić teraz
- Ustalić wersje wszystkich własnych instancji GitLaba i przypisać odpowiedzialność za aktualizację.
- Wykonać kopię zapasową i zastosować poprawione wydanie zgodnie ze ścieżką aktualizacji.
- Uwzględnić ewentualną przerwę wynikającą z migracji bazy danych.
- Sprawdzić dzienniki przy użyciu opublikowanych przez GitLab reguł wykrywania prób wykorzystania luki.
Komentarz SecurHUB
Serwer z kodem i procesami wdrażania wymaga szczególnie szybkiej oceny podatności. Audyty bezpieczeństwa pomagają sprawdzić także uprawnienia, dostępność dzienników i zależności od takiej platformy.
Źródła: GitLab, The Hacker News
