Уязвимость в GitLab EE позволяла обходить защиту окружений — CVE-2026-86341
В GitLab EE обнаружена уязвимость, из-за которой пользователь с правами Owner или Maintainer мог незаметно отключить обязательное согласование развёртывания в защищённые окружения. Проблема затрагивает ряд версий веток 17.1, 19.2 и 19.3 и получила оценку 4.4 (MEDIUM) по шкале CVSS.
Подробности
Проблема затрагивает все версии GitLab EE начиная с 17.1 и до исправленных релизов: - 17.1 — до 19.1.8; - 19.2 — до 19.2.6; - 19.3 — до 19.3.2. Тип уязвимости — некорректная реализация проверки контроля доступа (access control check), выполняемая уже после изменения защищённого ресурса. Иными словами, проверка прав происходила в неверном порядке: сначала ресурс (настройки защищённого окружения и правила согласования) изменялся, и только затем выполнялась валидация полномочий. Это позволяло обойти механизм deployment approval и провести развёртывание без утверждения. Уязвимости присвоена оценка CVSS 4.4 (MEDIUM). Для эксплуатации требуется наличие аутентификации и повышенных прав (Owner или Maintainer), однако воздействие затрагивает целостность процесса выпуска: неодобренные изменения могли достичь production. Компания GitLab классифицирует проблему как remediated — исправление выпущено в указанных версиях.Что делать
Рекомендуется как можно скорее обновить GitLab EE до исправленных версий: 19.1.8, 19.2.6 или 19.3.2 (в зависимости от используемой ветки). Если немедленное обновление невозможно, следует: - ограничить круг пользователей с правами Owner и Maintainer, пересмотрев их необходимость; - усилить мониторинг изменений настроек защищённых окружений и правил согласования развёртываний; - проверять журналы аудита на предмет несанкционированных правок политик deployment approval. После обновления имеет смысл повторно проверить конфигурацию защищённых окружений, чтобы убедиться, что требования по согласованию не были отключены ранее. Итог: CVE-2026-86341 — умеренно опасная, но значимая для процессов CI/CD уязвимость в GitLab EE, позволяющая обойти обязательное утверждение развёртываний. Она требует высоких привилегий, однако напрямую влияет на безопасность релизов, поэтому обновление до исправленных версий и аудит настроек защищённых окружений обязательны.Источник: CVE Project (cvelistV5)