1.16.5

Дата выпуска: 22.10.2026
Сборка GitLab: 19.4.3_0

Ключевые изменения

  • GitLab CE 19.4.3 закрывает критическое целочисленное переполнение в компиляторе регулярных выражений (CVE-2026-110264) и обход аутентификации через поиск email в LDAP при привязке учётных записей OmniAuth (CVE-2026-15723); обновите каждую установку, где используется автоматическая привязка к LDAP.
  • Закрыты ещё шесть уязвимостей, среди них отравление кеша конечных точек обнаружения OAuth и OIDC и обход авторизации в API вех группы.
  • Helm-чарт монтирует учётные данные OpenSearch, заданные ссылкой на секрет, а его задания резервного копирования, переиндексации и geo-logcursor запускают образ toolbox продукта.

Улучшения

  • Helm-чарт:
    • Задание проверки перед обновлением получает запросы и лимиты ресурсов по умолчанию (upgradeCheck.resources: запрос 64Mi памяти, лимиты 200m CPU и 128Mi памяти), поэтому кластеры, чьи квоты или политики допуска отклоняют поды без них, больше не блокируют обновление.

Исправления

  • Слияние fast-forward выполняется, когда тег носит имя целевой ветки.
  • Workhorse отвечает на запрос архива кодом 429 вместо ошибки, когда Gitaly отклоняет его из-за исчерпания ресурсов.
  • Claim sub ID-токенов CI/CD в пайплайнах запросов на слияние из форков содержит claims задания и исходного проекта.
  • Helm-чарт:
    • Учётные данные OpenSearch, заданные ссылкой на секрет (username и password с secret и key), монтируются в поды Rails; встроенные учётные данные имеют приоритет, если заданы оба варианта, а ссылка без одного из двух полей останавливает рендеринг.
    • Задание резервного копирования, задание переиндексации базы данных и развёртывание geo-logcursor запускают образ toolbox из global.codeHelm.images; раньше они собирали имя образа upstream GitLab и тянули образ, которого в поставке нет.

Обновления безопасности

  • CVE-2026-110264, критическая: целочисленное переполнение в компиляторе регулярных выражений Ruby. Патч есть в продукте и в образах компонентов модуля.
  • CVE-2026-15723, высокая: некорректная аутентификация при поиске email, который привязывает вход через OmniAuth к учётной записи LDAP.
  • CVE-2026-112212, высокая: отравление кеша конечных точек обнаружения OAuth и OIDC; их URL теперь строятся из настроенного адреса инстанса.
  • CVE-2026-12664, средняя: поле адреса email рабочего элемента в GraphQL читалось токеном только на чтение.
  • CVE-2026-105777, средняя: внутренние учётные данные в заголовках ответа не вырезались, если имя заголовка было в другом регистре.
  • CVE-2026-13319, средняя: обход авторизации в API вех группы через непроверяемый параметр.
  • CVE-2026-105711, низкая: заголовок запроса на слияние оставался в закешированном фрагменте страницы.

Зависимости

  • GitLab CE: 19.4.2 → 19.4.3.

1.15.4

Дата выпуска: 22.10.2026
Сборка GitLab: 19.3.6_0

Ключевые изменения

  • GitLab CE 19.3.6 закрывает критическое целочисленное переполнение в компиляторе регулярных выражений (CVE-2026-110264) и обход аутентификации через поиск email в LDAP при привязке учётных записей OmniAuth (CVE-2026-15723); обновите каждую установку, где используется автоматическая привязка к LDAP.
  • Закрыты ещё шесть уязвимостей, среди них отравление кеша конечных точек обнаружения OAuth и OIDC и обход авторизации в API вех группы.

Исправления

  • Слияние fast-forward выполняется, когда тег носит имя целевой ветки.
  • Workhorse отвечает на запрос архива кодом 429 вместо ошибки, когда Gitaly отклоняет его из-за исчерпания ресурсов.
  • Claim sub ID-токенов CI/CD в пайплайнах запросов на слияние из форков содержит claims задания и исходного проекта.

Обновления безопасности

  • CVE-2026-110264, критическая: целочисленное переполнение в компиляторе регулярных выражений Ruby. Патч есть в продукте и в образах компонентов модуля.
  • CVE-2026-15723, высокая: некорректная аутентификация при поиске email, который привязывает вход через OmniAuth к учётной записи LDAP.
  • CVE-2026-112212, высокая: отравление кеша конечных точек обнаружения OAuth и OIDC; их URL теперь строятся из настроенного адреса инстанса.
  • CVE-2026-12664, средняя: поле адреса email рабочего элемента в GraphQL читалось токеном только на чтение.
  • CVE-2026-105777, средняя: внутренние учётные данные в заголовках ответа не вырезались, если имя заголовка было в другом регистре.
  • CVE-2026-13319, средняя: обход авторизации в API вех группы через непроверяемый параметр.
  • CVE-2026-105711, низкая: заголовок запроса на слияние оставался в закешированном фрагменте страницы.

Зависимости

  • GitLab CE: 19.3.5 → 19.3.6.

1.17.0

Дата выпуска: 19.10.2026
Сборка GitLab: 19.5.0_0

Ключевые изменения

  • Сканирование безопасности доступно проектам в режиме раннего доступа: политики выполнения сканирования запускают Opengrep, Trivy и CodeScoring в пайплайнах проекта, а результаты попадают в список зависимостей, соответствие лицензий и DefectDojo (Enterprise Edition).
  • GitLab CE 19.5.0 закрывает атаку по времени на токены вебхуков оповещений и чтение пути к конфигурации CI без разрешения read_code.
  • Модуль Deckhouse Kubernetes Platform больше не задерживает обновление, пока фоновые миграции GitLab завершены с ошибкой или ещё выполняются.

Новый функционал

  • SAST-сканирование с помощью Opengrep в режиме раннего доступа: политика выполнения сканирования добавляет в пайплайны проекта обязательное сканирование, которое ищет уязвимости в исходном коде; проект не может отключить сканирование или изменить его настройки (Enterprise Edition).
  • Сканирование с помощью Trivy в режиме раннего доступа: политика выполнения сканирования запускает Trivy в пайплайнах проекта и проверяет зависимости на уязвимости и лицензии, репозиторий на закоммиченные секреты, а образы контейнеров на уязвимости (Enterprise Edition).
  • Страницы «Список зависимостей» и «Соответствие лицензий» проекта в режиме раннего доступа: они показывают компоненты из SBOM, который сканирование безопасности загрузило в последний пайплайн, и лицензии, под которыми эти компоненты распространяются (Enterprise Edition).
  • Интеграция с CodeScoring в режиме раннего доступа: проект подключается к собственному серверу CodeScoring, а политика выполнения сканирования запускает в пайплайнах проекта его анализ состава ПО и поиск секретов (Enterprise Edition).
  • Интеграции сканеров безопасности CodeScoring, PT AI и DefectDojo в режиме раннего доступа: они хранят адрес сервера, токен и доверие к сертификату, которые нужны обязательным сканированиям, поэтому политика сканирования не хранит секретов в репозитории (Enterprise Edition).
  • Интеграция с DefectDojo в режиме раннего доступа: отчёты сканирования безопасности из пайплайнов проекта отправляются в инстанс DefectDojo, а найденные там уязвимости обновляются по мере выполнения пайплайнов (Enterprise Edition).

Улучшения

  • Helm-чарт:
    • Задание миграций реестра контейнеров выполняется как хук post-install и post-upgrade и пересоздаётся при каждом обновлении, поэтому изменение values больше не ломает обновление на неизменяемом шаблоне задания.
  • Модуль Deckhouse Kubernetes Platform:
    • Обновление продолжается, когда фоновые миграции GitLab завершились с ошибкой или ещё выполняются; оператор пишет предупреждение в журнал вместо остановки.

Обновления безопасности

GitLab CE 19.5.0 закрывает атаку по времени на токены вебхуков оповещений и чтение пути к конфигурации CI через GraphQL без разрешения read_code; sidekiq-cron, Gitaly и GitLab Pages обновлены с собственными исправлениями безопасности.

Документация

В документации модуля остаются только страницы о самом модуле; разделы о рекомендациях по безопасности, обслуживании и FAQ, которые теперь покрывает документация продукта, заменены ссылками на неё.

Зависимости

  • GitLab CE: 19.4.2 → 19.5.0.
  • GitLab Elasticsearch Indexer: 5.14.14 → 5.14.17.
  • Helm-чарт и модуль Deckhouse Kubernetes Platform:
    • Go в образах компонентов: 1.26.9 → 1.27.2.
←
REST API / Other
Введение / Журнал изменений
→