Security
GitLab łata krytyczną lukę CVSS 10.0 w 12 latach wydań
GitLab naprawia lukę RCE ocenioną na 10.0, Railway każe rotować klucze, a Node.js łata Node2Shell. Sprawdź, co wymaga działania.
Wydanie opracowane przy pomocy sztucznej inteligencji. Tekst i lektor wygenerowane automatycznie.
GitLab łata lukę RCE z oceną 10.0 obejmującą wydania od 7.0
GitLab opublikował 21 października poprawki do luki CVE-2026-110264 ocenionej na 10.0 w skali CVSS. Błąd przepełnienia liczb całkowitych podczas kompilacji specjalnie spreparowanego wyrażenia regularnego może pozwolić nieuwierzytelnionemu użytkownikowi na wykonanie dowolnego kodu na serwerze. Problem dotyczy wszystkich wersji od 7.0 z 2014 roku, bo źródłem jest silnik Onigmo dostarczany w pakietach GitLaba. Poprawione wersje to 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 i 18.11.13; część z nich wykracza poza standardową politykę wsparcia. GitLab.com i GitLab Dedicated mają już poprawkę. Brak doniesień o wykorzystaniu luki, nie ma jej też w katalogu CISA. To czwarta w miesiącu luka wykonania kodu w silniku wyrażeń regularnych zgłoszona przez tego samego badacza.
Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases →
Tematy: Aktualizacje bezpieczeństwa i Patch Tuesday
Railway wzywa wszystkich użytkowników do rotacji kluczy po ataku
Platforma deweloperska Railway potwierdziła atak cybernetyczny, w którym napastnicy mogli uzyskać dostęp do części sekretów klientów. Firma poinformowała, że hakerzy mogli odczytać zaszyfrowane zmienne środowiskowe, a w niektórych przypadkach także ich odszyfrowaną zawartość. Takie zmienne przechowują hasła i klucze API, więc przejęcie ich pozwala zalogować się do usług zewnętrznych jako prawowity właściciel. Railway twierdzi, że wstępna analiza wskazuje na ograniczony zakres, ale zaleca wszystkim użytkownikom unieważnienie i rotację kluczy. Firma na czas śledztwa wstrzymała nowe buildy i wdrożenia. Nie podała liczby poszkodowanych ani przyczyny ataku. Prezes Jake Cooper zapowiedział publikację analizy powłamaniowej. Według Railway atak mógł być częścią szerszej kampanii wymierzonej w dostawców wnioskowania AI.
Developer platform Railway urges 'all users' to revoke secret keys after cyberattack | TechCrunch →
Tematy: Wycieki przez dostawców i podwykonawców
Node2Shell: luka w Brotli w Node.js pozwala na zdalne wykonanie kodu
Node.js wydał 21 października poprawkę do luki Node2Shell (CVE-2026-111497) w dekoderze Brotli. Błąd zapisu poza granice bufora wywołany zniekształconymi danymi może prowadzić do zdalnego wykonania kodu, awarii procesu lub wycieku pamięci. Node.js ocenia go jako wysoki, o stopień poniżej krytycznego. Dotknięte były wszystkie wspierane linie wydań oraz Bun do wersji 1.4.4. Poprawione wersje to 22.23.4, 24.22.1 i 26.12.1; linie 25.x, 23.x i 20.x są wygaszone i nie dostaną poprawki. Ekspozycja występuje tam, gdzie aplikacja dekompresuje dane Brotli kontrolowane przez atakującego, m.in. przez Express 5 i body-parser 2.x oraz automatycznie w fetch(). 22 października badacze donieśli o wykonaniu kodu na oficjalnym obrazie Node.js 24.22.0 na Linux arm64, choć nie za każdym razem. Brak doniesień o wykorzystaniu w naturze. Vercel dodał 21 października reguły firewall blokujące atak.
Tematy: Aktualizacje bezpieczeństwa i Patch Tuesday
Plik AGENTS.md z folderu Pobrane przejmuje agenta kodującego
Forever Security wykryło złośliwy plik AGENTS.md w folderze ~/Downloads prawdziwego klienta, podszywający się pod notatki inżynierskie. Agent kodujący czyta i wykonuje polecenia z takiego pliku, a ~/Downloads to folder, do którego strona internetowa może pisać bez kliknięcia i zgody. Łańcuch ataku odtworzono na OpenAI Codex i Claude Code. W Codex podmieniony plik kazał agentowi dodać serwer MCP do ~/.codex/config.toml i zainstalować z npm złośliwy pakiet function-color; malware uruchomił się w ponad 90 proc. prób, a zmieniona konfiguracja obowiązuje w kolejnych sesjach. Claude Code oszukał około 50 proc. prób, przekierowując ANTHROPIC_BASE_URL na domenę atakującego i wyciekając token OAuth. Obie firmy nie mają czego łatać, bo agenci działają zgodnie z projektem. Zalecenia: nie uruchamiać agentów w ~/Downloads i sprawdzać pliki AGENTS.md oraz CLAUDE.md.
Tematy: Bezpieczeństwo agentów kodujących AIUmiejętności, wtyczki i MCP agentów AI
Chrome przestaje ufać certyfikatowi eMudhra; uczelnie wymieniają certyfikaty
Chrome przestanie ufać głównemu certyfikatowi emSign ECC Root CA - G3 firmy eMudhra we wtorek 27 października; Mozilla już to zrobiła. Pod tym korzeniem Chrome doliczył się około 30 800 niewygasłych certyfikatów, z czego 30 791 wydano przez InCommon, usługę certyfikatów Internet2 dla szkolnictwa wyższego. Źródłem problemu jest ceremonia kluczy z 30 kwietnia 2025 roku, podczas której zmiana skryptu stworzyła drugi zestaw słabych kluczy; personel wybrał niewłaściwy zestaw, a eMudhra podpisała go i cross-signowała z Sectigo. Osiem kluczy miało trzy cyfry lub mniej, jeden zaledwie cztery; Scott Helme odzyskał wszystkie osiem w mniej niż sekundę. Słabe klucze wykryto 17 października, a eMudhra unieważniła je 15 godzin później. 22 października firma zapowiedziała wyjście z rynku certyfikatów TLS. Uczelnie masowo przechodzą na łańcuch RSA eMudhra lub Let’s Encrypt.
Internet2's certificate authority (eMudhra) is being distrusted →
Tematy: Bezpieczeństwo Chrome