NC4 Amaran Kelemahan Kritikal GitLab CVSS 10.0 — Pentadbir Pelayan Perlu Kemas Kini Segera
Pusat Penyelarasan dan Perintah Siber Kebangsaan (NC4), di bawah Agensi Keselamatan Siber Negara (NACSA), mengeluarkan amaran NC4-ALR-2026-000014 mengenai kelemahan kritikal dalam GitLab, selepas GitLab membaiki 12 kelemahan keselamatan pada 21 Oktober 2026. Amaran itu memberi tumpuan kepada pemasangan GitLab Community Edition dan Enterprise Edition yang dihoskan sendiri.
Kelemahan paling serius ialah CVE-2026-110264, dengan skor CVSS 10.0, iaitu tahap maksimum. Menurut amaran itu, kelemahan ini berpunca daripada limpahan integer ketika menyusun ungkapan biasa yang direka khas dalam enjin ungkapan biasa Ruby, dan dalam keadaan tertentu ia boleh membenarkan pengguna tanpa pengesahan melaksanakan kod sewenang-wenangnya pada pelayan GitLab. Tiada jalan pintas atau tampalan sementara untuk kelemahan kritikal ini.
Kelemahan ini menjejaskan semua versi GitLab yang dihoskan sendiri dari 7.0 sehingga ke versi yang telah dibaiki. Pentadbir perlu menaik taraf kepada versi yang sepadan dengan cabang masing-masing.
| Cabang | Versi yang dibaiki |
|---|---|
| 19.5 | 19.5.1 |
| 19.4 | 19.4.3 |
| 19.3 | 19.3.6 |
| 19.2 | 19.2.9 |
| 19.1 | 19.1.9 |
| 19.0 | 19.0.10 |
| 18.11 | 18.11.13 |
Versi 19.5.1, 19.4.3 dan 19.3.6 mengandungi kesemua 12 pembaikan, manakala versi 19.2.9, 19.1.9, 19.0.10 dan 18.11.13 mengandungi pembaikan untuk kelemahan kritikal ini. NC4 turut menyatakan bahawa naik taraf ke 19.4.3 dan 19.3.6 melibatkan migrasi pangkalan data. Pemasangan 18.10 atau lebih lama tiada tampalan untuk versi tersebut dan perlu dinaik taraf dahulu ke cabang yang disokong.
Penting untuk membezakan pemasangan kendiri dengan perkhidmatan awan. Menurut amaran itu, GitLab.com dan persekitaran GitLab Dedicated telah pun dikemas kini oleh pembekal, dan pelanggan Dedicated pada 19.3.5-internal0, 19.4.2-internal0 atau lebih baharu tidak perlu mengambil tindakan tampalan yang sama.
Amaran yang sama turut menyenaraikan dua kelemahan tahap tinggi lain. CVE-2026-15723, dengan skor 8.2, melibatkan pautan automatik akaun OmniAuth SAML dan LDAP yang boleh membenarkan pengambilalihan akaun LDAP orang lain, dan hanya dibaiki dalam 19.3.6, 19.4.3 dan 19.5.1. CVE-2026-112212, dengan skor 7.5, melibatkan keracunan dokumen penemuan OAuth/OIDC dalam cache bersama yang boleh mengalihkan sebahagian aliran log masuk ke pelayan yang dikawal penyerang, dan juga hanya dibaiki dalam tiga versi tersebut.
Bagi organisasi Malaysia, sudut yang paling relevan ialah syarikat teknologi, startup, agensi pembangunan perisian dan mana-mana organisasi yang menghoskan GitLab pada pelayan sendiri. Pelayan yang diceroboh boleh mendedahkan kod sumber, rahsia CI/CD dan token akses. Tiada bukti dalam sumber yang diperiksa bahawa organisasi Malaysia tertentu telah diserang melalui kelemahan ini.
NC4 menggesa pentadbir bertindak segera dengan empat langkah: buat sandaran lengkap pangkalan data dan konfigurasi repositori sebelum mengemas kini, naik taraf semua pemasangan GitLab yang dihoskan sendiri kepada versi yang telah dibaiki, lumpuhkan buat sementara pautan automatik OmniAuth SAML dan penciptaan automatik akaun LDAP sebagai langkah sementara untuk CVE-2026-15723, dan pantau log aplikasi serta log audit untuk aktiviti pautan automatik yang luar biasa melalui titik akhir SAML/LDAP dan kerosakan proses pekerja yang berulang.
Pentadbir boleh menyemak versi pemasangan mereka dan menaik taraf kepada keluaran yang telah ditampal, dengan keutamaan kepada pelayan yang terdedah kepada internet. Jika pelayan mungkin sudah diceroboh, semak log berkaitan, asingkan sistem yang terjejas jika perlu, dan putar semula rahsia serta token yang mungkin terdedah sebagai langkah berjaga-jaga.
Sumber: NC4