Höchste Warnstufe: GitLab schließt Lücke mit dem Maximalwert CVSS 10
Über manipulierte reguläre Ausdrücke konnten Angreifer ohne Anmeldung Code auf GitLab-Servern ausführen. Betreiber eigener Installationen sollen sofort aktualisieren.
Grafik: TERRA WORLD NEWS (eigene Darstellung nach den genannten Quellen)
Die Entwicklerplattform GitLab hat eine Sicherheitslücke geschlossen, die mit dem höchstmöglichen Schweregrad 10,0 bewertet wird. Der Fehler mit der Kennung CVE-2026-97229 steckt nach Angaben des Herstellers in der Komponente, die reguläre Ausdrücke in CI/CD-Konfigurationen verarbeitet. Ein speziell präparierter Ausdruck konnte dort einen Ganzzahlüberlauf auslösen. Angreifer brauchten weder Zugangsdaten noch Mitwirkung eines Nutzers – Netzwerkzugriff auf eine verwundbare Instanz genügte, um eigenen Code auf dem Server auszuführen.
Betroffen sind die Community- und Enterprise-Ausgaben in den Versionsreihen 19.2, 19.3 und 19.4. Abhilfe schaffen die am 12. Oktober veröffentlichten Versionen 19.2.8, 19.3.5 und 19.4.2. Die Cloudplattform GitLab.com ist bereits gepatcht, Kunden des Angebots Dedicated müssen nichts tun. Hinweise auf aktive Angriffe gibt es laut dem Sicherheitshinweis bisher nicht, ein öffentlicher Beispielangriff war zunächst nicht bekannt.
Mit dem Update schließt GitLab insgesamt 24 Schwachstellen: eine kritische, fünf hohe, 14 mittlere und vier niedrige. Der Hersteller rät allen Betreibern selbst verwalteter Server zum sofortigen Update. Bei Installationen auf nur einem Server erfordern die Datenbank-Migrationen eine kurze Ausfallzeit, bei sauber geplanten Updates mehrerer Knoten lässt sich das vermeiden.