GitLab: validasi regular expression yang lemah memungkinkan arbitrary code execution tanpa autentikasi

GitLab telah memperbaiki masalah di GitLab CE/EE yang memengaruhi semua versi dari 19.2 sebelum 19.2.8, 19.3 sebelum 19.3.5, dan 19.4 sebelum 19.4.2 yang, dalam kondisi tertentu, dapat memungkinkan pengguna tanpa autentikasi untuk mengeksekusi arbitrary code pada server GitLab melalui regular expression yang dimanipulasi khusus dalam konfigurasi CI/CD, بسبب validasi regular expression yang tidak memadai.

Kerentanan ini memungkinkan penyerang tanpa autentikasi mengambil alih eksekusi di server GitLab. Dampaknya dapat mencakup kompromi kerahasiaan, integritas, dan ketersediaan layanan, serta membuka jalan untuk penyalahgunaan kredensial, perubahan pipeline, dan pergerakan lateral di lingkungan internal.

Status KEV dan eksploitasi aktif meningkatkan risiko insiden nyata. Skor CVSS 10 dengan vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H menunjukkan serangan dapat dilakukan dari jaringan tanpa hak akses awal dan berpotensi berdampak luas. Prioritaskan penanganan segera karena EPSS 0.26569 menunjukkan peluang eksploitasi yang berarti.

Akar masalah

Celah ini berkaitan dengan CWE-190. Deskripsi menyebut validasi regular expression yang tidak memadai pada konfigurasi CI/CD. Dalam kondisi tertentu, input regular expression yang dimanipulasi khusus dapat memicu kondisi integer overflow or wraparound dan berujung pada eksekusi kode di server GitLab.

Kondisi pemicu

Kerentanan memengaruhi GitLab CE/EE pada semua versi dari 19.2 sebelum 19.2.8, 19.3 sebelum 19.3.5, dan 19.4 sebelum 19.4.2. Serangan dapat dilakukan oleh penyerang tanpa autentikasi dari jaringan, tanpa interaksi pengguna. Kondisi tersebut menunjukkan bahwa permukaan serang berada pada komponen yang memproses konfigurasi CI/CD.

Arti metrik CVSS

• AV:N: serangan dapat dilakukan melalui jaringan.
• AC:L: upaya eksploitasi relatif rendah.
• PR:N: tidak memerlukan hak akses awal.
• UI:N: tidak membutuhkan tindakan pengguna.
• C:H/I:H/A:H: dampak tinggi terhadap kerahasiaan, integritas, dan ketersediaan.
• S:C: dampak dapat meluas melampaui komponen yang langsung terdampak.

1. Terapkan mitigasi sesuai instruksi vendor, pastikan selaras dengan panduan CISA BOD 26-04 Prioritizing Security Updates Based on Risk dan CISA’s “Forensics Triage Requirements”. Ikuti panduan BOD 26-04 yang berlaku untuk cloud services atau hentikan penggunaan produk jika mitigasi tidak tersedia. Evaluasi eksposur internet setiap aset dan patuhi pedoman patching BOD 26-04.
2. Perbarui ke versi aman: 19.2.8, 19.3.5, atau 19.4.2.
3. Jika patch belum dapat diterapkan, batasi akses jaringan ke layanan GitLab terkait (perlu diverifikasi).
4. Nonaktifkan atau batasi fitur CI/CD yang memproses regular expression bila tidak diperlukan (perlu diverifikasi).
5. Perketat hak akses administratif dan tinjau ulang konfigurasi yang berkaitan dengan pipeline dan repository (perlu diverifikasi).
6. Karena status KEV aktif, jadikan 2026-11-01 sebagai acuan prioritas penanganan.

1. Inventaris seluruh aset GitLab dan verifikasi versi terpasang terhadap versi terdampak: 19.2 sebelum 19.2.8, 19.3 sebelum 19.3.5, dan 19.4 sebelum 19.4.2.
2. Tinjau log aplikasi dan web server yang berkaitan dengan konfigurasi CI/CD, terutama aktivitas yang menunjukkan regular expression yang tidak biasa atau anomali pada pemrosesan konfigurasi.
3. Cari perilaku yang tidak wajar, seperti kegagalan proses CI/CD, perubahan konfigurasi pipeline yang tidak diharapkan, atau eksekusi perintah yang tidak selaras dengan aktivitas normal.
4. Korelasikan temuan dengan status eksploitasi aktif dan KEV untuk memprioritaskan investigasi.
5. Rujuk referensi resmi untuk informasi tambahan dan IoC bila tersedia: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-released/ , https://gitlab.com/gitlab-org/gitlab/-/work_items/630686 , https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-97229 , https://github.com/advisories/GHSA-9hj5-r43h-h3xg , https://nvd.nist.gov/vuln/detail/CVE-2026-97229.