CVE-2026-97229

Nome do Software Vulnerável e Versões Afetadas GitLab CE/EE versões 19.2 até 19.2.7 GitLab CE/EE versões 19.3 até 19.3.4 GitLab CE/EE versões 19.4 até 19.4.1

Descrição Um estouro de inteiro (CWE-190) existe no Compilador de Expressões Regulares de CI/CD, especificamente na VM de regex nativa Onigmo incluída no Ruby. A validação insuficiente de expressões regulares especialmente elaboradas em configurações de CI/CD permite que um invasor não autenticado execute código arbitrário no servidor GitLab como a conta de SO git. O problema é desencadeado quando um quantificador manipulado usando um comentário inline (ex: {5(?#)7805}) ignora as verificações de tamanho na função compile quantifier node(), levando a um estouro de memória que pode ser usado para redirecionar a execução para uma chamada system(). A exploração pode ser acionada via uma requisição GET para o endpoint da API de lint de CI /api/v4/projects/<id>/ci/lint usando o parâmetro content ref.

Recomendações Atualizar o GitLab CE/EE versão 19.2 para 19.2.8. Atualizar o GitLab CE/EE versão 19.3 para 19.3.5. Atualizar o GitLab CE/EE versão 19.4 para 19.4.2. Como mitigação temporária, restrinja o acesso não autenticado a projetos públicos graváveis por invasores ou bloqueie o acesso ao endpoint /api/v4/projects/<id>/ci/lint.