Angreifer nutzen eine kritische GitLab-Schwachstelle aus, um sensible Daten von ungepatchten Servern zu stehlen. Forscher haben zwölf öffentliche Repositories mit Exploit-Code gefunden, während rund 13.700 exponierte Systeme weiterhin verwundbar sein könnten.
Angreifer nutzen kritische GitLab-Schwachstelle aus
Die unter CVE-2026-85706 geführte Schwachstelle betrifft GitLab Community Edition und Enterprise Edition. Sie hat die höchstmögliche Schweregradbewertung erhalten.
Censys entdeckte mindestens zwölf separate öffentliche Repositories, die Exploit-Code für die Schwachstelle enthalten. Gleichzeitig greifen Bedrohungsakteure aktiv über das Internet erreichbare GitLab-Instanzen an.
Die US-amerikanische Cybersecurity and Infrastructure Security Agency bestätigte die aktive Ausnutzung. CISA nahm die Schwachstelle am 11. September in ihren Known Exploited Vulnerabilities-Katalog auf.
Anschließend gab die Behörde Bundesorganisationen drei Tage Zeit, um die erforderlichen Sicherheitsmaßnahmen umzusetzen.
GitLab bietet eine selbst gehostete Plattform für Softwareentwicklung, Sicherheit und IT-Betrieb. Laut einer regulatorischen Einreichung hat der Dienst mehr als 50 Millionen registrierte Nutzer. Auch die Hälfte der Fortune-100-Unternehmen nutzt die Plattform.
Path-Traversal-Fehler legt sensible Dateien offen
CVE-2026-85706 ist eine Path-Traversal-Schwachstelle. Unter bestimmten Bedingungen kann ein nicht authentifizierter Angreifer sie ausnutzen, um beliebige Dateien von einem verwundbaren Server zu lesen.
Öffentlich verfügbarer Exploit-Code zeigt, wie Angreifer auf die Datei gitlab-secrets.json zugreifen können. Diese Datei enthält Schlüssel, die GitLab zur Verschlüsselung von auf der Plattform gespeicherten Geheimnissen verwendet.
Zu diesen Geheimnissen können CI/CD-Variablen, Deploy-Schlüssel und Integrationstoken gehören. Entwicklungspipelines sind auf solche Zugangsdaten angewiesen, um Verbindungen zu anderen Diensten herzustellen.
Dadurch könnten Angreifer Zugriff auf Cloud-Konten, Container-Registries und Quellcode-Repositories erhalten. Anschließend könnten sie die gestohlenen Zugangsdaten nutzen, um einen umfassenderen Angriff auf die Software-Lieferkette zu starten.
Organisationen behandeln GitLab häufig sowohl als Entwicklungsumgebung als auch als sicheren Tresor. Instanzen können proprietären Quellcode, Automatisierungsskripte, Sicherheitsrichtlinien und andere sensible interne Ressourcen enthalten.
Daher kann ein unbefugter Zugriff Risiken verursachen, die weit über den ursprünglichen GitLab-Server hinausgehen.
Tausende Server bleiben verwundbar
Censys identifizierte 86.231 über das Internet erreichbare Hosts, auf denen GitLab läuft. Diese Server entsprachen 208.186 einzelnen Webpräsenzen.
China hatte mit 19.435 Systemen die größte Zahl exponierter Hosts. Die USA folgten mit 13.242, während Deutschland 12.249 verzeichnete.
Die Forscher zählten außerdem 8.639 exponierte Hosts in Russland und 5.062 in Frankreich. Auf andere Länder entfielen die übrigen Systeme.
Die bloße Erreichbarkeit über das Internet bedeutet jedoch nicht, dass jeder Server weiterhin verwundbar ist. Daten der Shadowserver Foundation zeigen, dass mindestens 13.700 exponierte Systeme noch immer nicht gegen CVE-2026-85706 geschützt sind.
Berichten zufolge befinden sich die meisten dieser verwundbaren Server in den USA.
Organisationen sollten gespeicherte Zugangsdaten rotieren
Censys warnte Organisationen davor, Zugangsdaten, die auf verwundbaren und über das Internet erreichbaren Instanzen gespeichert sind, weiterhin als sicher zu betrachten.
Administratoren sollten CI/CD-Geheimnisse, Deploy-Schlüssel und Integrationstoken unverzüglich rotieren. Außerdem sollten sie ihre GitLab-Umgebungen auf Hinweise auf unbefugten Zugriff untersuchen.
Diese Überprüfung sollte auch verbundene Cloud-Plattformen, Repositories und Container-Registries umfassen. Angreifer können gestohlene Zugangsdaten auch noch verwenden, nachdem Administratoren den ursprünglichen GitLab-Server gepatcht haben.
Daher reicht die Installation eines Updates allein möglicherweise nicht aus, um das umfassendere Risiko zu beseitigen. Organisationen müssen außerdem exponierte Geheimnisse ungültig machen und verbundene Dienste auf verdächtige Aktivitäten untersuchen.
GitLab veröffentlicht kritische Sicherheitsupdates
GitLab behob CVE-2026-85706 mit einem Sicherheitsupdate, das 18 Schwachstellen beseitigte. Das Update enthielt Patches für zwei kritische Sicherheitslücken.
Das Unternehmen empfiehlt dringend, alle selbst verwalteten Installationen auf eine der neuesten korrigierten Versionen zu aktualisieren:
- GitLab 19.3.2
- GitLab 19.2.6
- GitLab 19.1.8
Dies ist innerhalb von weniger als einem Monat bereits die zweite kritische GitLab-Schwachstelle, die nicht authentifizierte Nutzer betrifft.
GitLab veröffentlichte am 17. August eine separate kritische GraphQL-Schwachstelle. Angreifer begannen weniger als 24 Stunden später damit, sie auszunutzen, um öffentliche Projekte und Nutzerdaten zu verändern oder zu löschen.
Die jüngste GitLab-Schwachstelle zeigt erneut, wie schnell Angreifer neu veröffentlichte Sicherheitslücken für Angriffe nutzen. Administratoren sollten unverzüglich patchen, exponierte Zugangsdaten rotieren und jedes betroffene System untersuchen.
0 Kommentare zu „GitLab-Schwachstelle legt Geheimnisse auf Tausenden Servern offen“