Vulnerabilità · 65 giorni fa
La trappola non è un bug generico di GitLab, ma un percorso di rendering che trasforma un’anteprima innocua in esecuzione di comandi dentro il processo webservice a lunga vita. Se il patching viene letto solo dal tavolo di sicurezza o dal numero del chart, la 18.11.3 può restare esposta anche quando l’installazione sembra aggiornata.
Il PoC pubblico uscito il 24 luglio colpisce installazioni self-managed 18.11.3 e funziona per qualunque utente autenticato che possa fare push su un progetto. GitLab ha corretto il problema l’10 giugno, ma la correzione di Oj 3.17.3 è finita tra i bug fix, non nella tabella di sicurezza, e non esiste alcun CVE; le versioni da portare su sono 18.10.8, 18.11.5 o 19.0.2.
Per chi usa Helm o GitLab Operator, il controllo giusto è la versione di GitLab dentro l’immagine Webservice con Puma, non quella del chart o dell’Operator. Il punto cieco resta lo stesso: una revisione del release notes orientata solo alla voce di sicurezza può lasciare una console già patchata sulla carta ma ancora sfruttabile nel processo reale.
1 fonte che coprono questa storia
Researcher Publishes GitLab RCE PoC Letting Authenticated Users Run Commands as Git
A public GitLab 18.11.3 PoC chains two Oj parser bugs through crafted Jupyter notebook diffs to execute commands as git without admin rights.
Part of the PlainSec briefing for 2026-07-26