GitLab מתקנת עקיפת 2FA וארבע חולשות DoS: מי שמארח בעצמו צריך לשדרג
ב-21 בינואר 2026 פרסמה GitLab את הגרסאות 18.8.2, 18.7.2 ו-18.6.4. הן מתקנות את CVE-2026-0723, עקיפה של 2FA, וארבע חולשות DoS. GitLab.com כבר מעודכן.
TL;DR בקצרה
- GitLab פרסמה ב-21 בינואר 2026 את הגרסאות 18.8.2, 18.7.2 ו-18.6.4 עם חמישה תיקוני אבטחה.
- CVE-2026-0723 (CVSS 7.4) מאפשרת לתוקף שמכיר את מזהה האישור של הקורבן לעקוף אימות דו-שלבי בעזרת תגובות מכשיר מזויפות.
- ארבע חולשות נוספות מאפשרות מניעת שירות, שלוש מהן בלי אימות. GitLab לא מציינת ניצול בפועל.
- GitLab.com כבר מעודכן. התקנות self-managed צריכות לשדרג, ובשרת יחיד צפויה השבתה.
GitLab פרסמה ב-21 בינואר 2026 את הגרסאות 18.8.2, 18.7.2 ו-18.6.4, שמתקנות את CVE-2026-0723, עקיפה של אימות דו-שלבי. לפי GitLab, תוקף שמכיר את מזהה האישור (credential ID) של הקורבן יכול לעקוף את האימות בעזרת תגובות מכשיר מזויפות. התיקון כולל גם ארבע חולשות מניעת שירות. מי שמריץ GitLab בשרת משלו צריך לשדרג.
מה מאפשרת CVE-2026-0723 ב-GitLab
לפי GitLab, הבעיה בשירותי האימות של המערכת. תוקף שיודע את מזהה האישור של המשתמש יכול לשלוח תגובות מכשיר מזויפות ולעקוף את האימות הדו-שלבי. ציון ה-CVSS הוא 7.4, ו-GitLab מדרגת את החולשה כגבוהה. החולשה פוגעת בגרסאות 18.6 עד 18.6.3, 18.7 עד 18.7.1 ו-18.8 עד 18.8.1.
GitLab לא פירטה כמה קשה להשיג את מזהה האישור. לפי InfoWorld, פישינג לסיסמאות הוא כנראה דרך פשוטה מזיוף תגובות מכשיר. עם זאת, אימות דו-שלבי נועד לעצור תוקף שכבר גנב סיסמה. לכן עקיפה שלו חמורה, גם אם היא דורשת נתונים נוספים.
הסיכון מרכזי בארגוני פיתוח. גישה לחשבון GitLab פירושה גישה לקוד המקור ולצנרת הבנייה. דייויד שיפלי (David Shipley) מ-Beauceron Security אמר ל-InfoWorld שחשבון מפתח שנפרץ עלול לאפשר מתקפת שרשרת אספקה.
ארבע חולשות מניעת שירות באותו עדכון
GitLab פרסמה תיקונים גם לארבע חולשות DoS. שתיים בדרגה גבוהה, ושתיים בינונית.
CVE-2025-13927 מאפשרת למשתמש לא מאומת לגרום להשבתה בעזרת בקשות עם נתוני אימות פגומים, באינטגרציה עם Jira Connect. CVE-2025-13928 היא בדיקת הרשאות שגויה בנקודות קצה של ה-API, בהן ה-Releases API. גם היא מאפשרת השבתה בלי אימות. שתיהן בציון 7.5.
CVE-2025-13335 מאפשרת למשתמש מאומת להשבית את המערכת בעזרת מסמכי Wiki פגומים. זה גורם ללולאה אינסופית, והציון הוא 6.5. CVE-2026-1102 מאפשרת למשתמש לא מאומת לגרום להשבתה בעזרת בקשות אימות SSH פגומות שחוזרות על עצמן. הציון הוא 5.3.
הדף של GitLab לא מציין אם מישהו ניצל חולשה כלשהי בפועל. לפי GitLab, פרטי החולשות יפורסמו במעקב הבעיות שלה 30 יום אחרי השחרור. כלומר, מידע טכני מלא צפוי להגיע בפברואר 2026.
איך משדרגים אחרי CVE-2026-0723: GitLab.com מעודכן, השאר צריכים לפעול
GitLab.com כבר עובד עם התיקון. לקוחות GitLab Dedicated לא צריכים לעשות דבר. GitLab ממליצה לשדרג בהקדם כל התקנה עצמאית של גרסה פגיעה. היעד הוא הגרסה האחרונה בענף: 18.8.2, 18.7.2 או 18.6.4.
העדכון כולל מיגרציות של מסד נתונים. בשרת יחיד תהיה השבתה בזמן השדרוג. בהתקנה של כמה שרתים אפשר לשדרג בלי השבתה, אם פועלים לפי ההוראות של GitLab לשדרוג כזה. הגרסה 18.7.2 כוללת גם מיגרציות שרצות אחרי הפריסה.
מה זה אומר עבורכם
- בדקו את הגרסה: אם אתם מארחים GitLab בעצמכם, שדרגו ל-18.8.2, 18.7.2 או 18.6.4, לפי ענף הגרסה שלכם.
- תכננו חלון תחזוקה: בשרת יחיד צפויה השבתה בזמן השדרוג, ולכן תאמו אותה מראש עם הצוותים.
- חפשו התחברויות חריגות: InfoWorld ממליץ לנטר התחברויות שאין להן אתגר אימות דו-שלבי ביומנים.
- אל תסתמכו על אימות דו-שלבי לבדו: השתמשו בסיסמאות ייחודיות ובמנהל סיסמאות, כדי שגם עקיפה של השכבה השנייה לא תספיק.
- הגבילו חשיפה: אם אין צורך, אל תחשפו את GitLab לאינטרנט. שלוש מארבע חולשות ה-DoS מאפשרות לתוקף לא מאומת להשבית אותה.
מקורות והרחבה
- Patch Release: GitLab 18.8.2, 18.7.2, 18.6.4GitLab
- GitLab 2FA login protection bypass lets attackers take over accountsInfoWorld
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
