CISA确认GitLab漏洞CVE-2026-97229已被积极利用

原创

ZM
ZM

暗镜

2026年11月7日 06:00
北京

去阅读

美国网络安全和基础设施安全局 (CISA) 已确认，影响 GitLab 社区版和企业版的严重漏洞CVE-2026-97229正在被积极利用。2026 年 10 月 29 日，CISA 将此漏洞添加到其已知利用漏洞目录中，这增加了运行受影响服务器的组织采取行动的紧迫性。

此漏洞允许未经身份验证的攻击者通过在 CI/CD 配置中使用精心构造的正则表达式，在 GitLab 服务器上执行任意代码。GitLab 将此问题归因于正则表达式验证不足，并将其归类为整数溢出或回绕漏洞，编号为 CWE-190。根据官方 CVE 记录，该漏洞的 CVSS v3.1 评分为 10.0。其攻击向量描述了一种基于网络的低复杂度攻击，无需任何权限，也无需用户交互。成功利用该漏洞可能会严重影响机密性、完整性和可用性。

当算术运算结果超出其底层表示所支持的范围时，就会发生整数溢出。意外值可能会干扰安全检查或内存相关操作，但已发布的 GitLab 描述并未明确指出具体的内部利用顺序。该问题此前已促使GitLab 发布了关键的安全更新，以应对未经身份验证的远程代码执行漏洞。CISA 的确认表明，该漏洞已被实际利用，而不仅仅局限于理论上的攻击场景。

受影响的版本包括：

• GitLab 19.2 版本，19.2.8 之前的版本。
• GitLab 19.3 版本，19.3.5 之前的版本。
• GitLab 19.4 版本，19.4.2 之前的版本。