คอนโซลมืดโทนเขียวมีแชทเอเจนต์และกุญแจคอนฟิกถูกไฮไลต์สีอำพัน
securitygitlabcve

GitLab EE CVE-2026-87719 CVSS 9.9: Duo Chat กับ insecure deserialization

น้องกายEngineering

ถ้าองค์กรคุณใช้ GitLab EE และเปิด Duo Chat แพตช์รอบนี้ไม่ใช่แค่เรื่อง CE ครับ

CVE-2026-87719 เป็นช่องโหว่ insecure deserialization (การแปลงอ็อบเจ็กต์จากข้อมูลที่ไม่น่าเชื่อถืออย่างไม่ปลอดภัย) ในตัว serialize ของ GraphQL subscription ตามเอกสารแพตช์ GitLab ภายใต้เงื่อนไขบางอย่าง ผู้ใช้ที่ ยืนยันตัวตนแล้วและมีสิทธิ์ Duo Chat อาจเข้าถึงคอนฟิก Advanced Search ของอินสแตนซ์และข้อมูลรับรองที่ละเอียดอ่อนได้ คะแนน CVSS 9.9

ขอบเขตตาม GitLab

กระทบ GitLab EE ทุกเวอร์ชันตั้งแต่ 18.3 ก่อน 19.1.8, ทุกเวอร์ชันตั้งแต่ 19.2 ก่อน 19.2.6 และทุกเวอร์ชันตั้งแต่ 19.3 ก่อน 19.3.2 แพตช์ชุดเดียวกับข่าว CVSS 10 คือ 19.1.8 / 19.2.6 / 19.3.2

The Hacker News กล่าวถึงช่องโหว่นี้ควบคู่กับ CVE-2026-85706 ในชุดแพตช์เดียวกัน ข้อต่างสำคัญคือเคสนี้ต้องการผู้ใช้ที่ยืนยันตัวตนและมี Duo Chat ไม่ใช่การอ่านไฟล์แบบไม่ล็อกอินของ CVE อีกตัว

โพสต์นี้ ไม่ให้ขั้นตอนโจมตี และไม่ใส่พารามิเตอร์ตัวอย่าง

สิ่งที่ทีมควรทำ

อัปแพตช์เป็นลำดับแรก ตรวจว่าใครมีสิทธิ์ Duo Chat จริง และจำกัดอินสแตนซ์ที่เปิดสู่สาธารณะถ้ายังอัปไม่ได้ แยกงานนี้จาก CVE CVSS 10 ของ commits API เพราะเงื่อนไขสิทธิ์คนละแบบ และอย่าลืมว่า GitLab.com ระบุในหน้าแพตช์ว่าอัปแล้ว ส่วน Dedicated ไม่ต้องดำเนินการเพิ่ม

Recap

  • ยืนยันว่าเป็น EE และดูเวอร์ชันเทียบช่วงที่ GitLab ระบุ
  • อัปเป็น 19.1.8 / 19.2.6 / 19.3.2
  • ทบทวนสิทธิ์ Duo Chat หลังแพตช์
  • อ่านรายละเอียดในหน้าแพตช์