CISA KEV: útoky na GitLab a Cisco VPN
Nové přírůstky zahrnují spuštění kódu na GitLab serveru a vynucený restart firewallů Cisco při připojování k SSL VPN. Obě chyby lze za příslušných podmínek zneužít bez přihlášení; dostupné opravy se liší podle produktové větve.
GitLab CE a EE zasahuje CVE-2026-97229 s maximálním skóre CVSS 3.1 ve výši 10,0. Speciálně vytvořený regulární výraz v konfiguraci CI/CD může kvůli celočíselnému přetečení při kompilaci poškodit paměť a umožnit spuštění kódu na samotném GitLab serveru. Chyba tedy neohrožuje jen výsledek jedné automatizované úlohy, ale prostředí, které spravuje repozitáře a vývojový provoz.
Dotčené jsou větve 19.2 před 19.2.8, 19.3 před 19.3.5 a 19.4 před 19.4.2. Tyto opravené verze nebo novější podporovaná vydání mají nasadit správci vlastních instalací. GitLab.com i GitLab Dedicated už podle výrobce opravu dostaly. Aktuální bulletin obsahuje také šest detekcí pokusů o zneužití, například pády nativních procesů Onigmo a neobvyklé požadavky na kontrolu konfigurace CI.
Podkladová chyba je v enginu regulárních výrazů Onigmo používaném Ruby. Tým Ruby vysvětluje, že nebezpečí vzniká při kompilaci vzoru ovládaného útočníkem. Aplikace používající pouze vlastní pevně napsané výrazy touto cestou zasažené nejsou. Časový limit Regexp.timeout ani pouhé omezení délky vzoru neposkytují spolehlivou ochranu, protože chyba vzniká už při kompilaci. Oprava tohoto přetečení je v Ruby 4.0.8, 3.4.12 a 3.3.13; výrobce doporučuje alespoň 4.0.9, 3.4.12 nebo 3.3.13, které zahrnují i další související opravy. U GitLabu je rozhodující aktualizace jeho distribuovaného balíku, nikoli předpoklad, že výměna systémového Ruby automaticky opraví i přibalené prostředí.
Podrobnější souvislosti jsme popsali v článku GitLab opravuje kritické spuštění kódu bez přihlášení. Tehdejší informace, že ověřené podklady nepotvrzovaly aktivní zneužívání, už neodpovídá nynějšímu stavu: CISA zařadila tuto chybu do KEV 29. října.
CVE-2026-76418 v Cisco Secure Firewall ASA a FTD má CVSS 3.1 ve výši 8,6. Upravený požadavek na SSL VPN může vyvolat restart zařízení a výpadek služby. Podmínkou je dosažitelné přihlašovací rozhraní a sekundární ověřování v příslušné skupině tunelů. Úspěšné přihlášení není potřeba. Cisco potvrdilo aktivní zneužívání v říjnu.
Kontrola musí zahrnout i výchozí skupinu DefaultWEBVPNGroup. Pokud používá sekundární ověřování, pouhé skrytí seznamu připojovacích profilů zranitelnou cestu neodstraní. U FTD je potřeba posoudit nasazenou VPN politiku a skutečnou běžící konfiguraci zařízení.
První opravené verze ASA jsou 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 a pro řadu 9.24 varianty 9.24.1.27 a 9.24.10.1. U FTD jde o 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 a 10.1.1. Vhodný přechod je nutné ověřit podle používané větve a kompatibility.
Cisco popisuje dočasná omezení expozice podle konfigurace, včetně vypnutí seznamu profilů nebo sekundárního ověřování. Druhá možnost ale oslabuje zabezpečení vzdáleného přístupu. Změny proto vyžadují posouzení dopadu; přednost má aktualizace na opravený software. Zařazení obou CVE do KEV je důvodem prověřit expozici a dostupné stopy útoků, nikoli samo o sobě důkazem napadení konkrétní instalace.
Další články
CISA KEV: Barracuda, Outlook a další zneužívané chyby
Vláda schválila návrh českého dohledu nad AI a zřídila radu
