CVE-2026-97229: GitLab CE/EE: Estouro de Inteiro (CWE-190) com Possível Execução de Código via Regex em CI/CD
O GitLab corrigiu a CVE-2026-97229 no CE e no EE para as versões a partir de 19.2 antes de 19.2.8, 19.3 antes de 19.3.5 e 19.4 antes de 19.4.2. Segundo o registro, em certas condições um usuário não autenticado poderia executar código arbitrário no servidor GitLab por meio de uma expressão regular elaborada em uma configuração de CI/CD. A pontuação CVSS 3.1 base informada é 10.0 (crítica), e a vulnerabilidade não consta no catálogo KEV da CISA.
Visão geral
O GitLab corrigiu um problema no GitLab CE e EE que afeta as versões a partir de 19.2 antes de 19.2.8, 19.3 antes de 19.3.5 e 19.4 antes de 19.4.2. A descrição atribui o problema à validação insuficiente de expressões regulares em configurações de CI/CD, enquanto o registro o classifica como CWE-190 (Estouro de Inteiro ou Wraparound).
Impacto
Segundo o registro, em certas condições um usuário não autenticado poderia executar código arbitrário no servidor GitLab. A pontuação CVSS 3.1 base é 10.0 (crítica), com vetor de rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- GitLab CE/EE, versões 19.2 antes de 19.2.8
- GitLab CE/EE, versões 19.3 antes de 19.3.5
- GitLab CE/EE, versões 19.4 antes de 19.4.2
Status de exploração
A CVE não consta no catálogo KEV da CISA, portanto esse catálogo não confirma exploração ativa. Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas. Dois relatos do HackerOne referenciados têm marcações de descrição técnica e exploit; o conteúdo deles não é reproduzido aqui.
Correção e mitigação
- Atualize para o GitLab 19.2.8 ou superior, 19.3.5 ou superior, ou 19.4.2 ou superior, conforme o ramo instalado, conforme descrito nas notas da versão de correção do GitLab.
- Faça o inventário das instâncias GitLab e confirme as versões em relação às faixas afetadas.
- Até a correção, limite quem pode alterar a configuração de CI/CD, já que a descrição associa o problema a esse contexto.
Orientações de detecção
- Revise alterações recentes nos arquivos de configuração de CI/CD em busca de conteúdo inesperado ou incomum.
- Verifique os logs do servidor GitLab em busca de erros incomuns no processamento de pipelines ou atividade inesperada.
- Confirme a versão em execução pela interface administrativa após a atualização.
Limitações das informações disponíveis
A lista de correções do registro está vazia, por isso as versões corrigidas indicadas aqui vêm dos limites superiores das faixas afetadas. O status da fonte é Undergoing Analysis. A classificação CWE-190 não corresponde à validação de expressões regulares descrita no texto, e o registro não resolve essa divergência. A probabilidade EPSS é 0.00559 (percentil 0.45008) em 2026-10-13.
Perguntas frequentes
Quais versões do GitLab são afetadas pela CVE-2026-97229?
O registro indica o GitLab CE e EE nas versões a partir de 19.2 antes de 19.2.8, a partir de 19.3 antes de 19.3.5 e a partir de 19.4 antes de 19.4.2.
A CVE-2026-97229 está sendo explorada ativamente?
Ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.