Cisco-Firewalls und GitLab-Lücke werden angegriffen

Im Internet missbrauchen Angreifer derzeit Sicherheitslücken in Ciscos Firewalls und in GitLab. Informationen zu Art und Umfang der Angriffe fehlen weitgehend, jedoch empfiehlt etwa Cisco die umgehende Installation der fehlerbereinigten Software-Versionen.

Die US-amerikanische IT-Sicherheitsbehörde CISA hat die Schwachstellen in Ciscos SSL-VPN und in GitLab in den „Known-Exploited-Vulnerabilities“-Katalog aufgenommen. Cisco hat am Mittwochabend eine Sicherheitsmitteilung zu einer Denial-of-Service-Schwachstelle im SSL-VPN von den Cisco-ASA- und Cisco-FTD-Firewalls herausgegeben. Aufgrund eines Logikfehlers bei konfigurierter „secondary Authentication“ in der Tunnel-Gruppe können bösartige Akteure manipulierte Anfragen bei der Verbindung zum SSL-VPN senden, die zum Neustart der Appliance führen – ein Denial-of-Service-Angriff (CVE-2026-76418, CVSS 8.6, Risiko „hoch“). Einen offiziellen Workaround gibt es nicht, aber bestimmte Einstellungen können helfen – die haben allerdings Einschränkungen für Nutzer zur Folge. Aktualisierte Software steht bereit: Cisco Secure Firewall ASA Software Release 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 und 9.24.10.1 sowie Cisco Secure FTD Software Release 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 und 10.1.1 und jeweils neuere sollen die Schwachstelle nicht mehr aufweisen, versichert Cisco.

Auch Angriffe auf GitLab beobachtet

Mitte des Monats wurde eine Sicherheitslücke in GitLab bekannt, mit Risiko-Höchstwertung (CVE-2026-97229, CVSS 10.0, Risiko „kritisch“). Angreifer können dadurch ohne vorherige Authentifizierung mit sorgsam präparierten regulären Ausdrücken (regex) in einer CI/CD-Konfiguration Schadcode auf GitLab-Server schleusen und ausführen. GitLab 19.2.8, 19.3.5 und 19.4.2 oder neuere Versionen stopfen das Sicherheitsleck, wie GitLab in seiner Mitteilung zum Patch-Release vom 12. Oktober erläutert.

Die CISA bestätigt lediglich beobachtete Angriffe und nennt außer der betroffenen Schwachstelle keine Details. Mehr verraten die Maintainer der Linux-Distribution Alpine Linux in einer aktuellen Mitteilung zu einem Sicherheitsvorfall im Zusammenhang mit dieser GitLab-Sicherheitslücke. Am 20. und 21. Oktober, also eine Woche, nachdem aktualisierte GitLab-Software verfügbar war, hat das Alpine-Linux-Team Angriffe auf seine GitLab-Instanz beobachtet. Zwar habe man keine Belege für erfolgreiche Angriffe gefunden, betrachte die Instanz jedoch als kompromittiert. Daher hat das Team sie von Grund auf neu aufgebaut. Zum Zeitpunkt des Angriffs lief noch die verwundbare GitLab-Version 19.3.4.

Das Team hatte am 13. Oktober versehentlich diese Version statt der bereits korrigierten 19.3.5 eingespielt. Das Upgrade auf Version 19.3.6 am 22. Oktober habe die Lücke noch nicht geschlossen, da die Korrektur nicht im GitLab-eigenen Code, sondern in einem Patch für Ruby besteht. Den spielt GitLab nur in seine offiziellen Pakete ein. Das Alpine-Linux-Image nutzte jedoch Standard-Ruby, dem der Patch fehlte. In solch einem Fall reicht das GitLab-Update nicht, sondern das selbst verwaltete Ruby muss mindestens auf Version 3.3.13, 3.4.12 oder 4.0.9 gebracht werden. Den Neuaufbau der Instanz haben die Entwickler am Mittwoch abgeschlossen. Vor der Wiederöffnung testen sie GitLab noch. Alle Passwörter wurden zurückgesetzt. Wer das Container-Image „alpinelinux/gitlab“ nutzt, sollte die Version 19.3.6 erneut herunterladen: Erst das Image vom 27. Oktober enthält Ruby 3.3.13 und stopft damit das Sicherheitsleck.