GitLab espone la flotta self-managed a un RCE già sfruttabile
La trappola non è un bug generico di GitLab, ma un percorso di rendering che trasforma un’anteprima innocua in esecuzione di comandi dentro il processo webservice a lunga vita. Se il patching viene letto solo dal tavolo di sicurezza o dal numero del chart, la 18.11.3 può restare esposta anche quando l’installazione sembra aggiornata.
Il PoC pubblico uscito il 24 luglio colpisce installazioni self-managed 18.11.3 e funziona per qualunque utente autenticato che possa fare push su un progetto. GitLab ha corretto il problema l’10 giugno, ma la correzione di Oj 3.17.3 è finita tra i bug fix, non nella tabella di sicurezza, e non esiste alcun CVE; le versioni da portare su sono 18.10.8, 18.11.5 o 19.0.2.
Per chi usa Helm o GitLab Operator, il controllo giusto è la versione di GitLab dentro l’immagine Webservice con Puma, non quella del chart o dell’Operator. Il punto cieco resta lo stesso: una revisione del release notes orientata solo alla voce di sicurezza può lasciare una console già patchata sulla carta ma ancora sfruttabile nel processo reale.