Lỗ hổng nghiêm trọng CVE-2026-97229 trong GitLab: Nguy cơ RCE không cần xác thực

• Mối đe dọa: Lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng với điểm CVSS 10.0.
• Cơ chế: Lỗi tràn số nguyên (integer overflow) trong trình biên dịch biểu thức chính quy (regex) của CI/CD.
• Tác động: Kẻ tấn công không cần xác thực có thể chiếm quyền điều khiển máy chủ GitLab.
• Hành động: Quản trị viên cần cập nhật ngay lập tức lên các phiên bản đã được vá lỗi.

GitLab đã chính thức phát hành các bản cập nhật bảo mật khẩn cấp nhằm khắc phục một lỗ hổng nghiêm trọng cho phép kẻ tấn công thực thi mã tùy ý (Arbitrary Code Execution - RCE) trên các máy chủ bị ảnh hưởng mà không cần thông qua bước xác thực. Lỗ hổng này, được định danh là CVE-2026-97229, được đánh giá ở mức độ nguy hiểm tối đa với điểm CVSS 10.0, gây ảnh hưởng trực tiếp đến cả hai phiên bản GitLab Community Edition (CE) và Enterprise Edition (EE).

Phân tích kỹ thuật lỗ hổng CVE-2026-97229

Theo các nhà nghiên cứu bảo mật, nguyên nhân gốc rễ của lỗ hổng nằm ở cơ chế xử lý biểu thức chính quy (regular expression) trong hệ thống CI/CD của GitLab. Cụ thể, đây là một lỗi tràn số nguyên (integer overflow) xảy ra trong quá trình biên dịch regex. Việc thiếu kiểm tra tính hợp lệ của các biểu thức chính quy cho phép kẻ tấn công gửi đi các payload được thiết kế đặc biệt thông qua cấu hình CI/CD để kích hoạt quá trình thực thi mã độc hại.

Khác với các cuộc tấn công dựa trên trình duyệt (Client-side), đây là lỗ hổng thực thi mã phía máy chủ (Server-side code execution). Điều này có nghĩa là kẻ tấn công có thể kiểm soát hoàn toàn máy chủ GitLab, đe dọa trực tiếp đến tính bảo mật, toàn vẹn và sẵn sàng của dữ liệu cũng như các dự án phát triển đang được lưu trữ.

Phạm vi ảnh hưởng và yêu cầu cập nhật

Lỗ hổng này ảnh hưởng đến nhiều phiên bản GitLab khác nhau. Quản trị viên hệ thống cần rà soát và thực hiện nâng cấp ngay lập tức để giảm thiểu rủi ro bị khai thác. Các phiên bản cần được cập nhật bao gồm:

• Phiên bản 19.2: Cần nâng cấp lên phiên bản 19.2.8 hoặc cao hơn.
• Phiên bản 19.3: Cần nâng cấp lên phiên bản 19.3.4 hoặc cao hơn.
• Phiên bản 19.4: Cần nâng cấp lên phiên bản 19.4.2 hoặc cao hơn.

⚠️ Cảnh báo quan trọng: Đối với phiên bản 19.3.4, GitLab đã ghi nhận một lỗi phát sinh ảnh hưởng đến các trang yêu cầu hợp nhất (merge request) khi tính năng tích hợp Ona được kích hoạt. Người dùng nên lưu ý điều này và chờ đợi bản vá 19.3.5 nếu đang sử dụng tính năng trên, đồng thời vẫn phải ưu tiên các biện pháp bảo mật cho lỗ hổng CVE-2026-97229.

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Để bảo vệ hạ tầng, các tổ chức cần tuân thủ nghiêm ngặt quy trình quản lý bản vá. Việc chỉ tập trung vào tiêu đề lỗ hổng là không đủ; quản trị viên nên xem xét toàn bộ thông báo bảo mật của GitLab để đảm bảo các lỗ hổng khác như Cross-site Scripting (XSS) hoặc các lỗi ủy quyền (authorization failures) cũng được xử lý đồng bộ.

Các đội ngũ SOC (Security Operations Center) nên thực hiện các bước sau:

• Kiểm tra nhật ký hệ thống: Rà soát các tệp cấu hình CI/CD bất thường hoặc các yêu cầu HTTP lạ hướng tới các endpoint xử lý cấu hình CI/CD.
• Giám sát lưu lượng: Theo dõi các hành vi truy cập không xác thực có dấu hiệu cố gắng khai thác các biểu thức regex phức tạp.
• Tham khảo tài liệu: Độc giả có thể tìm hiểu thêm về các hướng dẫn bảo mật chi tiết tại GitLab Security Advisory để có cái nhìn toàn diện về các biện pháp hardening hệ thống.

Lỗ hổng này được báo cáo bởi nhà nghiên cứu bảo mật joaxcar thông qua chương trình bug bounty của GitLab trên nền tảng HackerOne. Việc phát hiện kịp thời giúp ngăn chặn các cuộc tấn công thực tế, tuy nhiên, với tính chất nghiêm trọng của CVE-2026-97229, việc triển khai bản vá là nhiệm vụ ưu tiên hàng đầu cho mọi quản trị viên hệ thống GitLab tự quản lý (self-managed).