GitLab - CVE-2026-16346
Date de publication :
Il s'agit d'une vulnérabilité de dépassement d'entier dans le compilateur d'expressions régulières de GitLab.
GitLab est une plateforme de développement logiciel intégrée. Elle associe la gestion de code source, l'intégration continue et le déploiement continu au sein d'une même application, disponible en édition communautaire ou entreprise.
Ce compilateur est sollicité lors du traitement des fichiers de configuration CI/CD. Une expression régulière spécialement forgée, insérée dans une configuration CI/CD, provoque un dépassement de compteur au moment de sa compilation. Ce dépassement corrompt la mémoire du processus serveur.
Elle permet à un utilisateur authentifié d'exécuter du code arbitraire sur le serveur GitLab.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-285 : Improper Authorization
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• GitLab CE/EE versions 19.2 jusqu'à 19.2.6
• GitLab CE/EE versions 19.3 jusqu'à 19.3.2
• GitLab CE/EE versions 19.4 jusqu'à 19.4.0
Solutions ou recommandations
• Branche 19.3.x : version 19.3.3 et supérieures
• Branche 19.4.x : version 19.4.1 et supérieures