Über einen präparierten regulären Ausdruck in einer CI/CD-Konfiguration können Angreifer ohne Anmeldung Code ausführen. GitLab rät zum sofortigen Update.
Sicherheitslücke
GitLab: Kritische Lücke im CI/CD-Regex-Compiler
Bildquelle: II.studio /Shutterstock.com
GitLab hat eine Schwachstelle mit der höchsten Schweregradstufe in GitLab Community Edition (CE) und Enterprise Edition (EE) geschlossen. Die Lücke mit der Kennung CVE-2026-97229 steckt im Compiler für reguläre Ausdrücke der CI/CD-Funktion. Dieser verarbeitet, kompiliert und wertet reguläre Ausdrücke in den Pipeline-Konfigurationsdateien von Projekten aus. Ursache ist ein Ganzzahlüberlauf (Integer Overflow). Gemeldet hat die Lücke ein Sicherheitsforscher mit dem Namen „joaxcar” über das Bug-Bounty-Programm von GitLab bei HackerOne.
„GitLab hat ein Problem behoben, das es einem nicht authentifizierten Nutzer unter bestimmten Bedingungen hätte ermöglichen können, über einen speziell präparierten regulären Ausdruck in einer CI/CD-Konfiguration beliebigen Code auf dem GitLab-Server auszuführen, da reguläre Ausdrücke unzureichend validiert wurden.”
GitLab
Updates für drei Versionszweige
Betroffen sind die Versionen 19.2 vor 19.2.8, 19.3 vor 19.3.4 und 19.4 vor 19.4.2. GitLab empfiehlt, alle selbst verwalteten Installationen sofort auf eine der korrigierten Versionen zu aktualisieren. GitLab.com läuft bereits mit der gepatchten Version, Kunden von GitLab Dedicated müssen nichts unternehmen. Hinweise auf eine Ausnutzung der Lücke nennt GitLab nicht.
Weitere kritische Lücken in diesem Jahr
Im September hatte GitLab bereits eine andere Lücke mit höchstem Schweregrad geschlossen (CVE-2026-85706). Sie erlaubte nicht authentifizierten Angreifern, sensible Daten wie Zugangsdaten von verwundbaren Servern auszulesen. Die US-Cybersicherheitsbehörde CISA nahm sie einen Tag später in ihren Katalog aktiv ausgenutzter Schwachstellen auf und verpflichtete Bundesbehörden, ihre Systeme binnen drei Tagen abzusichern. Im Januar hatte GitLab eine Lücke zur Umgehung der Zwei-Faktor-Authentifizierung behoben (CVE-2026-0723). Insgesamt listet die CISA fünf GitLab-Lücken, die seit November 2021 in Angriffen ausgenutzt wurden.
Nach eigenen Angaben hat GitLab mehr als 30 Millionen registrierte Nutzer, mehr als die Hälfte der Fortune-100-Unternehmen setzt die Plattform ein.
(red)
