[TLP:CLEAR]
bollettino di sicurezza 2026/0254
GitLab Critical Patch Release
27-10-2026
gitlab, remote-code-execution, ldap-injection, authorization-bypass, integer-overflow, account-takeover
descrizione
GitLab ha pubblicato gli aggiornamenti di sicurezza 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13 per le edizioni CE ed EE, che correggono diverse vulnerabilità di sicurezza, incluse problematiche di severità critica.Le 12 vulnerabilità analizzate coprono le seguenti tipologie:
- Integer Overflow or Wraparound con esecuzione di codice arbitrario remoto non autenticato su server GitLab tramite compilazione di espressioni regolari appositamente costruite
- LDAP Injection per account takeover di account LDAP-backed senza interazione della vittima, sfruttando il percorso di lookup email durante il linking delle identità OmniAuth
- Autorizzazione errata su scope token GraphQL, membership lock e disponibilità AI Duo, con escalation dei privilegi effettivi oltre quelli concessi
- HTTP Request/Response Smuggling per cache poisoning del discovery document OAuth/OIDC verso server controllato dall'attaccante
- Esposizione di informazioni sensibili tramite header interni non filtrati e cache condivisa su issue confidenziali
- Authorization bypass su filtro progetto nei milestone API e su policy di approvazione merge request su branch protetti
- Improper cleanup su eccezione che consente la cancellazione permanente di record di vulnerabilità con permessi read-only
- Validazione lato server insufficiente nei controlli di billing eligibility per funzionalità AI a pagamento
3 CVE hanno priorità operativa critical.
Al momento della pubblicazione di questo bollettino, non risultano CVE nel catalogo CISA KEV, exploit in the wild o proof-of-concept pubblici.
note
Vettori di attacco e condizioni di sfruttamentoTutte le 12 CVE sono sfruttabili via rete (AV:N). Le condizioni variano significativamente: CVE-2026-110264 è l'unica con AC:L/PR:N/UI:N, sfruttabile senza alcun prerequisito da parte dell'attaccante. La maggioranza delle restanti richiede autenticazione (PR:L o PR:H) e in diversi casi alta complessità di accesso (AC:H): CVE-2026-15723 (AC:H/PR:L/UI:N), CVE-2026-12664 (AC:H/PR:L/UI:N), CVE-2026-16255 (AC:H/PR:L/UI:N), CVE-2026-14288 (AC:H/PR:L/UI:N), CVE-2026-112212 (AC:H/PR:N/UI:R), CVE-2026-112326 (AC:H/PR:L/UI:N). Le CVE con AC:L e PR:L/PR:H senza interazione utente includono CVE-2026-105777, CVE-2026-13319, CVE-2026-103515, CVE-2026-105711 (quest'ultima con UI:R), CVE-2026-112378.
Analisi delle CVE con priorità operativa critical
CVE-2026-110264 (CVSS 10, AV:N/AC:L/PR:N/UI:N/S:C): integer overflow nel motore di compilazione delle espressioni regolari consente a un utente non autenticato di eseguire codice arbitrario sul server GitLab; lo scope è modificato e l'impatto si estende con elevata confidenzialità, integrità e disponibilità oltre il componente vulnerabile.
CVE-2026-15723 (CVSS 8.2, AV:N/AC:H/PR:L/UI:N/S:C): LDAP Injection nel percorso di lookup email durante il linking delle identità OmniAuth, attivabile solo quando sia OmniAuth SAML che LDAP auto-linking sono contemporaneamente abilitati; consente a un utente autenticato di prendere il controllo di un account LDAP-backed arbitrario senza interazione della vittima, con elevato impatto su confidenzialità e integrità.
CVE-2026-12664 (CVSS 6.8, AV:N/AC:H/PR:L/UI:N/S:U): autorizzazione errata su un campo GraphQL consente a un utente autenticato con token di scope read_api di recuperare l'indirizzo email in ingresso di un progetto e creare work item, bypassando le restrizioni del token; lo sfruttamento dipende da condizioni specifiche non ulteriormente dettagliate dalla fonte.
Scope e impatto
La maggioranza delle CVE presenta scope unchanged (S:U): l'impatto è confinato al componente vulnerabile. Fanno eccezione CVE-2026-110264 e CVE-2026-15723, entrambe con scope changed (S:C), per le quali l'impatto può estendersi oltre il componente direttamente vulnerabile. CVE-2026-110264 presenta C:H/I:H/A:H; CVE-2026-15723 presenta C:H/I:H/A:N. Per le CVE con S:U, il profilo di impatto varia: CVE-2026-12664 e CVE-2026-16255 hanno C:H/I:L o C:H/I:H; CVE-2026-112212 (S:C) ha C:H/I:L/A:L. Le CVE di minore impatto presentano C:L/I:N/A:N (CVE-2026-105777, CVE-2026-13319, CVE-2026-105711) o C:N/I:L/A:N (CVE-2026-14288, CVE-2026-112326, CVE-2026-103515, CVE-2026-112378).
Remediation
GitLab raccomanda di aggiornare il prima possibile le installazioni self-managed interessate a una delle versioni corrette: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 o 18.11.13.
Solo CVE-2026-110264 è corretta in tutte queste versioni, grazie al backport sui rami 19.2, 19.1, 19.0 e 18.11. Le altre 11 vulnerabilità sono corrette esclusivamente nelle versioni 19.3.6, 19.4.3 e 19.5.1.
Le versioni 19.3.6 e 19.4.3 includono migrazioni del database, e la 19.4.3 anche una migrazione post-deploy. Sulle istanze single-node l'installazione comporta un'interruzione del servizio; le installazioni multi-node possono essere aggiornate senza downtime seguendo la procedura di upgrade zero-downtime di GitLab.
GitLab.com è già aggiornato. I tenant GitLab Dedicated con versione 19.3.5-internal0 o 19.4.2-internal0 e successive includono già le correzioni e non richiedono interventi.
Per CVE-2026-110264 GitLab ha pubblicato due regole di detection per le istanze self-managed: "Onigmo native worker crash" e "Org mode render error burst".
CVE
| CVE | CVSS | EPSS | priority | 0-day |
|---|---|---|---|---|
| CVE-2026-110264 | 3.1: 10.0/critical | 1.001% | 62.59% | 18.0/critical | no |
| CVE-2026-15723 | 3.1: 8.2/high | 0.421% | 36.22% | 12.8/critical | no |
| CVE-2026-12664 | 3.1: 6.8/medium | 0.330% | 25.95% | 9.7/critical | no |
| CVE-2026-112212 | 3.1: 7.5/high | 0.190% | 8.57% | 7.3/high | no |
| CVE-2026-16255 | 3.1: 5.9/medium | 0.209% | 10.96% | 6.3/high | no |
| CVE-2026-105777 | 3.1: 4.3/medium | 0.250% | 16.23% | 5.3/medium | no |
| CVE-2026-13319 | 3.1: 4.3/medium | 0.220% | 12.38% | 4.8/medium | no |
| CVE-2026-105711 | 3.1: 3.5/low | 0.212% | 11.38% | 3.8/medium | no |
| CVE-2026-14288 | 3.1: 3.1/low | 0.241% | 15.11% | 3.7/medium | no |
| CVE-2026-103515 | 3.1: 2.7/low | 0.232% | 13.95% | 3.1/medium | no |
| CVE-2026-112326 | 3.1: 3.1/low | 0.178% | 7.28% | 2.8/low | no |
| CVE-2026-112378 | 3.1: 4.3/medium | 0.123% | 2.05% | 2.0/low | no |
NOTA: Le vulnerabilità sono ordinate per priorità operativa, calcolata combinando la gravità teorica (CVSS) con la probabilità reale di sfruttamento (EPSS). Se il dato EPSS non è ancora disponibile, la priorità è calcolata sul solo score CVSS.
Approfondisci
elenco vulnerabilità
| CWE | descrizione |
|---|---|
| CWE-190 | Integer Overflow or Wraparound |
| CWE-90 | Improper Neutralization of Special Elements used in an LDAP Query ('LDAP Injection') |
| CWE-444 | Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') |
| CWE-863 | Incorrect Authorization |
| CWE-201 | Insertion of Sensitive Information Into Sent Data |
| CWE-639 | Authorization Bypass Through User-Controlled Key |
| CWE-348 | Use of Less Trusted Source |
| CWE-524 | Use of Cache Containing Sensitive Information |
| CWE-706 | Use of Incorrectly-Resolved Name or Reference |
| CWE-460 | Improper Cleanup on Thrown Exception |
prodotti impattati
| vendor | prodotto & versioni |
|---|---|
| GitLab |
gitlab
|