Phân tích kỹ thuật lỗ hổng RCE nghiêm trọng CVE-2026-97229 trên GitLab

• Mối đe dọa: Lỗ hổng RCE nghiêm trọng (CVSS 10.0) trong trình biên dịch biểu thức chính quy (regex) của GitLab CI/CD.
• Cơ chế: Lỗi tràn số nguyên (integer overflow) cho phép kẻ tấn công thực thi lệnh tùy ý với quyền của tài khoản git.
• Yêu cầu khai thác: Kẻ tấn công cần quyền đẩy (push) nhánh vào một dự án công khai trên instance GitLab mục tiêu.
• Khuyến nghị: Quản trị viên cần cập nhật ngay lập tức lên các phiên bản đã vá lỗi được phát hành ngày 12/10/2026.

Một lỗ hổng bảo mật nghiêm trọng với mã định danh CVE-2026-97229 đã được phát hiện trong GitLab, gây ra rủi ro thực thi mã từ xa (RCE) trên các máy chủ bị ảnh hưởng. Với điểm số CVSS 10.0, đây là mức độ rủi ro cao nhất, đòi hỏi các tổ chức phải ưu tiên thực hiện quy trình vá lỗi ngay lập tức để ngăn chặn các cuộc tấn công tiềm tàng.

Chi tiết kỹ thuật về lỗ hổng CVE-2026-97229

Theo các nhà nghiên cứu bảo mật, lỗ hổng này xuất phát từ một lỗi tràn số nguyên (integer overflow) nằm trong trình biên dịch biểu thức chính quy (regex) của hệ thống CI/CD trên GitLab. Lỗi này xảy ra khi hệ thống xử lý các cấu hình pipeline được thiết kế đặc biệt, kết hợp với việc sử dụng các đường dẫn repository chứa ký tự Unicode.

Cụ thể, quá trình khai thác diễn ra thông qua endpoint CI lint, vốn được sử dụng để kiểm tra tính hợp lệ của các tệp cấu hình CI/CD. Khi một kẻ tấn công đẩy một tệp cấu hình độc hại vào một nhánh của dự án công khai, trình biên dịch regex sẽ xử lý các đường dẫn này. Việc sử dụng ký tự Unicode khiến Ruby biên dịch lại biểu thức sau khi GitLab đã thực hiện kiểm tra kích thước, dẫn đến lỗi tràn số nguyên và chuyển hướng luồng thực thi của engine regex đến hàm thực thi lệnh (command-execution function).

Ma trận thực thể bị ảnh hưởng

Phân tích chuỗi tấn công (Kill Chain)

Dựa trên mã PoC được công bố bởi nhà nghiên cứu Jonah Burgess, chuỗi tấn công yêu cầu kẻ tấn công phải có quyền đẩy nhánh vào một dự án công khai. Sau đó, kẻ tấn công gửi một yêu cầu đến endpoint CI lint mà không cần bất kỳ token xác thực hoặc cookie nào. Mặc dù lệnh được thực thi dưới quyền của tài khoản git (không phải quyền quản trị viên), nhưng điều này vẫn đủ để kẻ tấn công chiếm quyền điều khiển máy chủ.

Các nhà nghiên cứu lưu ý rằng quá trình khai thác thường gây ra lỗi HTTP 502 do tiến trình worker bị crash sau khi lệnh được thực thi. Tuy nhiên, việc nhận được phản hồi này không đồng nghĩa với việc cuộc tấn công thất bại. Trong các thử nghiệm, kết quả lệnh đã được trả về thông qua callback, xác nhận sự thành công của việc thực thi mã từ xa.

Hướng dẫn phòng thủ và khắc phục

Để bảo vệ hệ thống trước CVE-2026-97229, quản trị viên cần thực hiện các bước sau:

• Cập nhật phiên bản: Nâng cấp GitLab lên các phiên bản đã được vá lỗi (19.2.8, 19.3.5, 19.4.2 hoặc mới hơn) ngay lập tức. Thông tin chi tiết có thể tham khảo tại GitLab Security Advisory.
• Kiểm tra cấu hình: Rà soát lại các tệp cấu hình CI/CD, đặc biệt chú ý đến các biểu thức chính quy mới hoặc các thay đổi bất thường trong các nhánh dự án.
• Giám sát hệ thống: Theo dõi các yêu cầu bất thường gửi đến endpoint CI lint và kiểm tra các tiến trình con được khởi tạo bởi tài khoản git.

⚠️ Cảnh báo quan trọng: Việc công khai mã PoC làm tăng đáng kể nguy cơ bị khai thác trong thực tế. Các tổ chức đang sử dụng phiên bản GitLab tự quản lý (self-managed) cần coi đây là ưu tiên hàng đầu trong danh mục quản lý lỗ hổng bảo mật của mình.