GitLab 10,0: tarkista oma palvelin

Varmennetut tiedot

CVE-2026-97229:n CVSS 3.1 -pisteet ovat 10,0. Virhe liittyy CI/CD:n säännöllisiin lausekkeisiin ja voi tietyissä oloissa mahdollistaa koodin suorittamisen ilman tunnistautumista. CERT-SE:n mukaan haavoittuvuus on lisätty CISA KEV -luetteloon. [1, 2]

Tarkistettavat versiot

GitLab ilmoittaa haavoittuviksi 19.2-versiot ennen 19.2.8:aa, 19.3-versiot ennen 19.3.5:tä ja 19.4-versiot ennen 19.4.2:ta. Nämä ovat tiedotteen korjausversiot. Valitse ajantasainen tuettu kohdeversio ja noudata GitLabin päivityspolkua. Tiedot koskevat GitLab CE/EE:tä. [1]

Suositeltu toimenpide

Käsittele mahdollinen tietomurtoepäily erillään päivityksestä.

1. Varmista asennettu versio ja palvelun saavutettavuus.
2. Tarkista tietojen ja asetusten varmuuskopiointi ja palautus.
3. Noudata tuettua päivityspolkua ja testaa projektien käyttö sekä pipelinet.
4. Tarkista lokit ja tilit. Jos epäilet tietomurtoa, arvioi paljastuneet salaisuudet sekä palautuksen ja vaihtojen oikea järjestys.

Päivityksen jälkeen: kolme hyödyllistä testiä

Suosittelemme testien kirjaamista muutostikettiin. Jos jokin epäonnistuu, keskeytä laajempi käyttöönotto ja noudata suunniteltua vianmääritys- tai palautustapaa.

1. Tarkista GitLabin ilmoittama versio ja varmista, että käytössä on tavoiteltu korjausversio tai varmennettu uudempi korjattu versio.
2. Testaa tavallisen käyttäjän kirjautuminen ja pääsy tarkoitettuun testiprojektiin.
3. Testaa vaaraton Git-työnkulku ja hallittu testipipeline käynnistämättä tuotantoon kohdistuvaa käyttöönottoa.

Tarvitsetko yhteisen toimintamallin?

Opas ”Haavoittuvuus löytyi – etene varmennettuun korjaukseen” kertoo, miten tarkistat, koskeeko ongelma sinua, valmistelet palautuksen ja varmistat tuloksen.