GitLab ha instado a sus usuarios a actualizar sus servidores inmediatamente para corregir dos vulnerabilidades críticas: una de salto de directorio (CVE-2026-85706) que permite leer archivos arbitrarios y otra de deserialización insegura (CVE-2026-87719). Las correcciones ya están disponibles en las versiones 19.3.2, 19.2.6 y 19.1 para las ediciones CE y EE. GitLab.com ya ha sido actualizado, por lo que solo los usuarios de instalaciones autogestionadas deben tomar medidas.





GitLab instó a los usuarios el jueves a parchear sus servidores inmediatamente contra una vulnerabilidad de salto de directorio (path traversal) de severidad máxima identificada como CVE-2026-85706.

El fallo de seguridad, descubierto por un investigador de seguridad que utiliza el alias s3ntago y reportado a través del programa de recompensas por errores HackerOne de GitLab, se debe a un confinamiento de ruta inadecuado y a la falta de aplicación de la autenticación en la API de commits del repositorio.

Según GitLab, atacantes no autenticados pueden explotar la CVE-2026-85706 para leer archivos arbitrarios de servidores vulnerables "bajo ciertas condiciones".

Ayer, GitLab parcheó una segunda vulnerabilidad crítica identificada como CVE-2026-87719 que surge de una debilidad de deserialización insegura en el serializador de suscripciones de GraphQL.

La CVE-2026-87719 afecta a GitLab EE y permite que usuarios autenticados con acceso a Duo Chat roben credenciales sensibles y configuraciones de instancia de Búsqueda Avanzada.

GitLab solucionó los dos problemas de seguridad en las versiones 19.3.2, 19.2.6 y 19.1 de GitLab Community Edition (CE) y Enterprise Edition (EE) el jueves, e instó a los usuarios a parchear sus sistemas inmediatamente.

"Estas versiones contienen correcciones importantes de errores y seguridad, y recomendamos encarecidamente que todas las instalaciones de GitLab autogestionadas se actualicen a una de estas versiones inmediatamente", advirtió la empresa el jueves en su comunicado. "GitLab.com ya está ejecutando la versión parcheada. Los clientes de GitLab Dedicated no necesitan tomar ninguna medida".

En mayo de 2023, GitLab abordó otro fallo de salto de directorio de severidad máxima (CVE-2023-2825) que exponía datos sensibles, incluyendo código de software propietario, credenciales de usuario, tokens y archivos en servidores no parcheados.

Un año después, la CISA y el FBI instaron a las empresas de software a eliminar las vulnerabilidades de seguridad de salto de directorio de sus productos antes del envío, afirmando que tales fallos "han sido calificados de 'imperdonables' desde al menos 2007".

Más recientemente, en enero, GitLab también parcheó un bypass de autenticación de dos factores de alta severidad que afectaba a las ediciones comunitarias y empresariales, permitiendo a los atacantes que conocieran el ID de la cuenta del objetivo eludir la autenticación de dos factores.

Desde noviembre de 2021, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha señalado cuatro vulnerabilidades de GitLab como explotadas en ataques, incluidas dos (CVE-2021-22175 y CVE-2021-39935) en febrero de este año.

La plataforma DevSecOps de GitLab tiene más de 30 millones de usuarios registrados y es utilizada por más del 50% de las empresas Fortune 100, incluyendo Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs y UBS.

Fuente:
BleepingComputer