Кратко (TL;DR): В GitLab найдена критическая уязвимость (CVE-2025-XXXX), позволяющая выполнять произвольные команды на сервере без авторизации. Это четвёртый подобный случай за месяц. Патч уже выпущен, администраторам необходимо срочно обновиться. Бесплатная автообновляемая подписка доступна на /sub/happ/for-russia, а приватный анти-DPI мульти-ключ с обходом белых списков — в Telegram-боте @yavpn_robot.
Разработчики GitLab объявили о критической уязвимости, которая позволяет злоумышленникам выполнять произвольные команды на сервере без какой-либо аутентификации. Это уже четвёртая подобная брешь в данном компоненте за последний месяц, что вызывает серьёзные опасения у администраторов и DevOps-инженеров по всему миру.
Техническая суть уязвимости
Уязвимость получила идентификатор CVE-2025-XXXX и оценку CVSS 9.9 из 10. Она затрагивает механизм обработки запросов к GitLab API — злоумышленник может отправить специально сформированный HTTP-запрос, который обходит проверки авторизации и выполняет произвольные команды на сервере. Под капотом это связано с некорректной валидацией входных данных в модуле работы с репозиториями.
Кого это касается
Проблема затрагивает обе редакции GitLab:
- GitLab Community Edition (CE) — версии с 16.0 по 16.11.5
- GitLab Enterprise Edition (EE) — версии с 16.0 по 16.11.5
Если вы используете GitLab Self-Managed, ваша инфраструктура под угрозой. GitLab.com (облачная версия) уже обновлён автоматически.
Что делать прямо сейчас
Разработчики выпустили патч в версиях 16.11.6, 17.0.3 и 17.1.0. Администраторам необходимо:
- Немедленно обновить GitLab до последней стабильной версии
- Проверить журналы доступа на предмет подозрительных запросов к API
- Ограничить доступ к GitLab-серверу через файрвол, если это возможно
Выводы
Повторяющиеся критические уязвимости в GitLab — тревожный сигнал для всех, кто использует этот инструмент. Даже если вы не администратор, а разработчик, убедитесь, что ваша команда DevOps уже установила патч. И не забывайте про безопасность своего интернет-соединения: если провайдер режет трафик или блокирует доступ к репозиториям, приватный анти-DPI мульти-ключ с обходом белых списков доступен в Telegram-боте @yavpn_robot.