Alerta de Vulnerabilidade - GitLab CE/EE

Vulnerabilidade de path traversal (CWE-22) na repository commits API do GitLab Community Edition e Enterprise Edition, com o identificador CVE-2026-85706/EUVD-2026-76779 [1][2][3]. A vulnerabilidade resulta da combinação de validação incorreta de caminhos e da ausência de verificação de autenticação neste endpoint, o que permite a um atacante não autenticado obter a leitura de ficheiros arbitrários do servidor [1][3].

São afetadas as seguintes versões [1][3]:

• GitLab CE/EE 18.7 a 19.1.x: versões anteriores à 19.1.8
• GitLab CE/EE 19.2.x: versões anteriores à 19.2.6
• GitLab CE/EE 19.3.x: versões anteriores à 19.3.2

O GitLab.com utiliza já a versão corrigida e o GitLab Dedicated não exige ação do cliente [1].

A exploração é remota e não requer autenticação, privilégios nem interação do utilizador, bastando um único pedido HTTP à API afetada. O atacante obtém a leitura de qualquer ficheiro acessível ao processo do GitLab, incluindo ficheiros de configuração, credenciais, variáveis de CI/CD e código-fonte dos repositórios alojados [1][4].

Recomenda-se a atualização imediata para uma versão corrigida [1]:

• GitLab 19.3.x: 19.3.2 ou posterior
• GitLab 19.2.x: 19.2.6 ou posterior
• GitLab 18.7 a 19.1.x: 19.1.8 ou posterior

Medidas adicionais recomendadas:

• Planear a janela de atualização tendo em conta que as instâncias single-node ficam indisponíveis durante o processo, porque as migrações de base de dados têm de concluir antes do arranque do GitLab. As instâncias multi-node podem ser atualizadas sem indisponibilidade [1];
• Restringir o acesso à instância GitLab a partir da Internet enquanto a atualização não estiver concluída, dado que não existem workarounds para esta vulnerabilidade [1];
• Dado que a exploração permite a leitura de credenciais armazenadas no servidor, tratar como potencialmente expostas as credenciais acessíveis ao processo do GitLab nas instâncias que estiveram acessíveis sem a correção, e alterá-las. Tal inclui os tokens de acesso pessoal e de projeto, as variáveis de CI/CD, as chaves de deploy e as credenciais de integrações [4];
• Analisar os logs de acesso da instância para identificar pedidos anómalos à repository commits API anteriores à aplicação da correção [4];
• Aplicar as restantes correções do mesmo patch release, que inclui uma segunda vulnerabilidade crítica de desserialização insegura com exposição de credenciais do Advanced Search via GraphQL, e uma vulnerabilidade de buffer overflow com execução de código através da importação de projetos manipulados [1].

[1] - https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/
[2] - https://nvd.nist.gov/vuln/detail/CVE-2026-85706
[3] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-85706
[4] - https://watchtowr.com/resources/rapid-reaction-gitlab-critical-path-traversal-vulnerability-cve-2026-85706/