GitLab’da ortaya çıkan kritik bir güvenlik açığı, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabiliyor ve platformun 12 yıla yayılan sürümlerini etkiliyor. CVSS skoru 10.0 olan sorun, özellikle kendi GitLab sunucusunu yöneten kurumlar için risk oluşturuyor.
Yayımlanan son düzeltmelere göre açık, belirli koşullarda saldırgana tam sistem yetkileriyle komut çalıştırma imkânı verebiliyor. Etki alanı yalnızca yeni sürümlerle sınırlı değil; uzun süredir kullanılan eski kurulumlar da kapsam içinde kalıyor.
Yama zinciri ve sürüm farkı
Asıl ayrıntı, 12 Ekim’de yayımlanan güncellemenin sadece 19.2 ve sonrası sürümleri kapsaması. Yeni düzeltilmiş sürümler ise bir yama sürümü daha ileride yer alıyor; bu da 9 gün önce güncelleme yapan bazı yöneticilerin de yeniden müdahale etmesini gerektirebiliyor.
Güvenlik kaydında yer alan bilgilere göre sorun, tek bir ana sürüm ailesiyle sınırlı değil. Etkilenen aralık, yıllara yayılan yayın geçmişi nedeniyle geniş tutuluyor ve yöneticilerin yalnızca en son sürüme bakarak durumu güvenli saymaması gerekiyor.
Kimler için kritik
GitLab, yazılım geliştirme ekiplerinin kaynak kodu, iş akışı ve dağıtım süreçlerini yönettiği için, bu tür bir açık saldırgana hem kod tabanına hem de bağlı altyapıya erişim kapısı açabilir. Kurumsal GitLab kurulumlarında depolar, CI/CD tanımları ve gizli değişkenler aynı ortamda bulunduğundan, kimlik doğrulaması gerektirmeyen RCE sınıfındaki hatalar doğrudan öncelikli kabul ediliyor.
Bu açık için NVD kaydı henüz paylaşılmadıysa da, izlenen sınıf CVSS 10.0 seviyesinde kritik RCE olarak tanımlanıyor. GitLab yöneticilerinin, 12 Ekim yamasını uygulamış olsalar bile yeni yayınlanan düzeltme sürümünü ayrıca kontrol etmesi gerekiyor.
Kaynağın aktardığına göre sorun, önceki yamadan hemen sonra yapılan sürüm ayrımı nedeniyle bazı ortamların yeniden güncellenmesini zorunlu kılıyor.