Sicherheitslücke mit maximalem Schweregrad bedroht GitLab

Aufgrund von teils schwerwiegenden Sicherheitslücken raten die GitLab-Entwickler Nutzern zu einem zügigen Update. Geschieht das nicht, können Angreifer Instanzen mit Schadcode attackieren. Sicherheitspatches schaffen Abhilfe.

In einer Warnmeldung versichern die Entwickler, die Lücken in GitLab 19.2.8, 19.3.5 und 19.4.2 geschlossen zu haben. Auf GitLab.com sollen bereits reparierte Versionen laufen. Kunden von GitLab Dedicated müssen ebenfalls nicht aktiv werden, Admins selbst betriebener Instanzen dagegen sofort. Bislang hat der Softwarehersteller keine Attacken auf die Schwachstellen kommuniziert.

Verschiedene Gefahren

Als am gefährlichsten gilt eine „kritische“ Lücke mit maximalem CVSS-Score 10 von 10 (CVE-2026-97229). Daran können Angreifer ohne Authentifizierung ansetzen und mit einem präparierten regulären Ausdruck in einer CI/CD-Konfiguration Schadcode auf GitLab-Servern ausführen. Schuld daran ist ein Integer Overflow im Regex-Compiler von GitLab CI/CD, weil reguläre Ausdrücke unzureichend validiert werden.

Fünf weitere Lücken sind mit dem Bedrohungsgrad „hoch“ eingestuft. An diesen Stellen können Angreifer unter anderem für XSS-Attacken (CVE-2026-92883) ansetzen oder als Nutzer mit Developer-Rolle unerlaubt CI/CD-Pipelines auf geschützten Branches ausführen (CVE-2026-16301).