GitLab CVE-2026-97229: Explotado, en el KEV de CISA y con el Arreglo en Ruby

Cronología (fechas tal como las publica cada fuente)

Versión de GitLab según el tipo de instalación

La tarea de rake, el endpoint de la API y el mapeo del chart salen de la documentación de GitLab; la página Help > Help de la app también muestra la versión a los usuarios con sesión iniciada. En un paquete Linux la versión responde la pregunta, porque el Ruby parcheado viene adentro. Poné el nombre de tu contenedor.

# Paquete Linux: mirá 'GitLab information > Version'
sudo gitlab-rake gitlab:env:info

# Imagen oficial de Docker: la misma tarea dentro del contenedor
docker exec gitlab gitlab-rake gitlab:env:info

# Cualquier tipo de instalación, desde tu computadora (necesita un token)
curl --request GET \
  --header "PRIVATE-TOKEN: <your_access_token>" \
  --url "https://gitlab.example.com/api/v4/version"

# Chart de Helm: las versiones del chart no son las de GitLab,
# traducilas con la página de version mappings del chart
helm list -n <namespace>

# Self-compiled: desde /home/git/gitlab, como el usuario git
bundle exec rake gitlab:env:info RAILS_ENV=production

# corregidas para CVE-2026-97229:     19.4.2, 19.3.5, 19.2.8
# corregidas para los dos CVE de regex: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13

¿De quién es el Ruby? Contenedores, imágenes propias e instalaciones desde el código

/opt/gitlab/embedded/bin/ruby figura en la lista de archivos del paquete Linux, y version-manifest.txt es donde la documentación de GitLab dice que quedan registradas las versiones incluidas. En un paquete de GitLab, esperá ver 3.3.10 a 3.3.12 aunque esté corregido. En cualquier otro lado, el número de Ruby es la prueba.

# Paquete Linux o imagen oficial: Ruby incluido, parcheado por GitLab
/opt/gitlab/embedded/bin/ruby -v        # 3.3.12 en 19.3 a 19.5, aun corregido
grep -iw ruby /opt/gitlab/version-manifest.txt

# Cada contenedor de GitLab en marcha: ¿imagen del paquete Linux o Ruby propio?
for c in $(docker ps --format '{{.Names}} {{.Image}}' | awk 'tolower($2) ~ /gitlab/ {print $1}'); do
  if docker exec "$c" test -x /opt/gitlab/embedded/bin/ruby; then
    echo "$c: Linux-package image, judge it by the GitLab version"
  else
    echo "$c: own Ruby: $(docker exec "$c" ruby -v 2>/dev/null || echo 'ruby not on PATH')"
  fi
done

# Self-compiled o imagen propia: este número tiene que llegar al arreglo de su serie
ruby -v      # corregidas: 3.3.13, 3.4.12, 4.0.9 · NO corregidas: 3.4.10, 3.4.11 · 3.2: sin arreglo
apk info -v 2>/dev/null | grep '^ruby-[0-9]'     # Alpine: 3.3.13-r0 (3.21), 3.4.12-r0 (3.22+)
dpkg -l 'ruby3*' | awk '/^ii/ {print $2, $3}'    # Debian: ruby3.3 y ruby3.1 sin arreglo al 3 nov

Cerrá el registro abierto

Las dos opciones están en la documentación de restricciones de registro de GitLab, incluida la línea para la consola de Rails. El atacante de Alpine entró con una cuenta recién registrada.

# UI: Admin > Settings > General > New user account restrictions
#     destildá 'Allow new user accounts' (o tildá 'Require admin approval')

# Consola de Rails en una instalación con paquete Linux
sudo gitlab-rails console
::Gitlab::CurrentSettings.update!(signup_enabled: false)

Buscá con las consultas de logs del propio GitLab

Estas líneas salen de las reglas de detección que GitLab enlazó en los dos avisos (gitlab-security-oss/tldr), con las rutas del paquete Linux; en Helm, los mismos logs están en los pods de Webservice y Sidekiq. GitLab llama a un 502 de Workhorse cuyo correlation ID nunca llegó a api_json.log ‘the single highest-confidence signal in the set’.

WH=/var/log/gitlab/gitlab-workhorse/current
APP=/var/log/gitlab/gitlab-rails/application_json.log
PUMA=/var/log/gitlab/puma/puma_stderr.log
SIDEKIQ=/var/log/gitlab/sidekiq/current

# 1. Workers que murieron en las rutas de lint o GraphQL (la detonación)
grep -E '"uri":"[^"]*(ci/lint|/api/graphql)' "$WH"* | grep -E '"status":502|badgateway'

# 2. Patrones que frenó la guarda de regexp de CI (el sondeo, registrado tal cual)
grep 'Gitlab::Ci::Build::Rules::Rule::Clause::RegexpMatcher' "$APP"* \
  | grep -E 'rejected at compile time|match timed out|time budget exceeded'

# 3. Caídas nativas de Ruby a través de Onigmo (camino de CI y de Org-mode)
grep -B1 -A20 '\[BUG\]' "$PUMA"* \
  | grep -E 'org-ruby|headline\.rb|regexp_matcher\.rb|match_at|onig_search_gpos|onig_compile|compile_tree|compile_length_tree|rb_str_sub_bang'
grep 'A worker terminated, shutting down the cluster' "$SIDEKIQ"*

# 4. El commit disparador: rutas cerca de 255 bytes con un byte no ASCII
#    (corrélo en un clon de cada proyecto sospechoso)
git ls-tree -r --name-only HEAD | awk 'length($0) >= 240' | grep -P '[^\x00-\x7F]'