O GitLab está passando por um mês difícil #gitlab #security #programming
Autoria: Better Stack · Assistir no YouTube
Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.
Idioma original: inglês
Vídeo original: GitLab Is Having a Rough Month #gitlab #security #programming · Canal: Better Stack · 01:02 · Assistir no YouTube
Tópicos: Cibersegurança e segurança de software, Ferramentas de desenvolvimento com IA, Open source e ecossistemas de software
O GitLab corrigiu uma vulnerabilidade crítica com nota 10/10 que permitia a uma pessoa sem conta executar código em servidores self-managed com pelo menos um projeto público. A falha afetava todas as versões self-managed desde o GitLab 7, lançado em 2014, e não havia solução alternativa: era necessário atualizar o servidor. A vulnerabilidade estava no compilador de expressões regulares e envolvia um integer overflow no Onigmo, mecanismo incluído no Ruby. Esta foi a terceira falha com nota 10/10 no GitLab em seis semanas; embora não haja sinais de exploração da mais recente, cerca de 82 mil servidores GitLab estão acessíveis pela internet.
Pontos-chave
Seção intitulada “Pontos-chave”- A falha mais recente recebeu nota 10/10 e permitia execução de código sem autenticação.
- A exploração exigia que o servidor tivesse pelo menos um projeto público.
- O problema afetava todas as versões self-managed do GitLab desde a versão 7, lançada em junho de 2014.
- O GitLab.com já estava corrigido; servidores hospedados pelos próprios usuários precisavam ser atualizados.
- Uma expressão regular especialmente criada provocava um integer overflow durante a compilação.
- A falha envolvia o Onigmo, mecanismo de expressões regulares incluído no Ruby.
- Nove dias antes, o GitLab havia corrigido outra vulnerabilidade com nota 10/10 no compilador de expressões regulares do CI/CD.
- O GitLab teve três vulnerabilidades com nota 10/10 em seis semanas, contra quatro entre 2019 e o fim de 2025.
- Cerca de 82 mil servidores GitLab podem ser acessados pela internet; não havia sinais de exploração da falha mais recente.
Capítulos
Seção intitulada “Capítulos”| Início | Capítulo | Resumo |
|---|---|---|
| 00:00 | Falha crítica em servidores self-managed | O GitLab corrige uma vulnerabilidade 10/10 que permitia execução de código sem conta em servidores com um projeto público. |
| 00:31 | Causa técnica e sequência de falhas | A falha envolvia um integer overflow no compilador de expressões regulares do Onigmo, e o GitLab registra várias vulnerabilidades críticas em pouco tempo. |
Citações
Seção intitulada “Citações”Alguém sem uma conta poderia executar seu próprio código no servidor GitLab. — 00:00
Uma regex especialmente criada causa um integer overflow quando é compilada. — 00:31
Se um desses servidores for seu, atualize-o hoje. — 01:02
Conceitos e entidades
Seção intitulada “Conceitos e entidades”- GitLab (empresa): Plataforma de desenvolvimento afetada pelas vulnerabilidades discutidas no vídeo.
- CVE (conceito): Identificador usado para se referir à vulnerabilidade crítica mencionada na transcrição.
- Onigmo (ferramenta): Mecanismo de expressões regulares incluído no Ruby e apontado nas notas do GitLab como relacionado à falha.
- Ruby (ferramenta): Linguagem cuja cópia distribuída com o GitLab foi corrigida para resolver a vulnerabilidade.
- CI/CD (conceito): Área do GitLab cujo compilador de expressões regulares também recebeu uma correção de segurança nove dias antes.
- integer overflow (conceito): Erro que ocorria ao compilar uma expressão regular especialmente criada e levava à execução de código.
Tradução completa (pt-BR)
Seção intitulada “Tradução completa (pt-BR)”00:00 Todo servidor GitLab autogerenciado dos últimos 12 anos tinha uma vulnerabilidade de segurança com nota 10 de 10, e esta é a segunda neste mês. Então, na quarta-feira, o GitLab lançou um patch crítico para uma CVE com nota 10 de 10, o que significa que alguém sem uma conta poderia executar o próprio código no seu servidor GitLab. A única condição era que o servidor tivesse pelo menos um projeto público. A vulnerabilidade afetava todas as versões autogerenciadas desde o GitLab 7, lançado em junho de 2014. O GitLab.com já está corrigido. Se você hospeda o seu próprio servidor, não há solução alternativa: é preciso fazer upgrade. O bug em si
00:31 estava no compilador comum. Uma expressão regular especialmente criada causa um estouro de inteiro quando é compilada, e isso leva à execução de código. As próprias notas do GitLab apontam para o Onigmo, o mecanismo de expressões regulares integrado ao Ruby, e a correção foi feita aplicando um patch à cópia do Ruby distribuída pelo GitLab. Nove dias antes, o GitLab também corrigiu outra vulnerabilidade com nota 10 no compilador de expressões regulares do CI/CD, e notas 10 perfeitas costumavam ser bem raras no GitLab. De 2019 até o fim de 2025, foram quatro. Neste ano, foram três em seis semanas, e a de setembro estava sendo explorada
01:02 em menos de um dia após o patch. Não há indícios de que alguém tenha explorado esta vulnerabilidade mais recente ainda, mas há cerca de 82.000 servidores GitLab acessíveis pela internet. Então, se um deles é seu, faça o upgrade hoje mesmo. Inscreva-se para receber mais notícias sobre IA e desenvolvimento toda semana.
Transcrição original
[00:00] Every self-managed GitLab server of the past 12 years had a perfect 10 out of 10 security bug, and it’s the second one this month. So, on Wednesday, GitLab put out a critical patch for CVE rated 10 out of 10, and it means that someone without an account could run their own code on your GitLab server. The only catch was the server needed at least one public project on it. It hit every self-managed version from GitLab 7 onwards, and 7 came out in June 2014. Gitlab.com is already patched. If you host your own, there is no workaround, you just have to upgrade. The bug itself
[00:31] was in the regular compiler. A specially crafted regex causes an integer overflow when it’s compiled, and that leads to code execution. GitLab’s own notes point to Onigmo, which is the regex engine built into Ruby, and they fixed it by patching the copy of Ruby that GitLab ships. 9 days earlier, GitLab also patched another 10 in its CI/CD regex compiler, and perfect 10s used to be pretty rare for GitLab. From 2019 to the end of 2025, it had four. This year, it’s had three in 6 weeks, and the one from September was being exploited
[01:02] within a day of the patch. There’s no sign that anyone has used this latest one yet, but there are around 82,000 GitLab servers reachable from the internet, so if one of them is yours, go ahead and upgrade it today. Subscribe for more AI and dev news every week.