Offengelegte E-Mail-Adressen von GitLab-Projekten könnten Angreifern das Einreichen von Code ermöglichen

Entwickler, die eine private E-Mail-Adresse eines GitLab-Projekts veröffentlichen, um Fehlerberichte zu sammeln, könnten Angreifern damit auch die Möglichkeit geben, Arbeitselemente in ihrem Namen zu erstellen. Forscher von Aikido fanden aktive Adressen in öffentlicher Projektdokumentation und warnten davor, dass dieselben Zugangsdaten auch Merge Requests ermöglichen könnten.

Private Adressen enthalten langlebige Tokens

GitLab ermöglicht es Benutzern, Projekt-Issues oder Aufgaben zu erstellen, indem sie eine E-Mail an eine speziell generierte Adresse senden. Die Adresse enthält ein glimt--Token, das mit dem Konto des Benutzers verknüpft ist. GitLab verwendet dieses Token, um eingehende Nachrichten als Arbeit des Kontoinhabers zu verarbeiten.

Diese Adressen sollen privat bleiben. Aikido fand sie jedoch in öffentlichen README-Dateien, Beitragsrichtlinien und Support-Seiten. Einige Projektverantwortliche hatten die Adressen veröffentlicht, damit Nutzer Fehlerberichte per E-Mail senden konnten.

Angreifer können die Adresse ändern, um Merge Requests zu erstellen

Laut Aikido kann jemand, der eine solche Adresse erhält, deren Suffix -issue in -merge-request ändern. GitLab akzeptiert E-Mails, die an die geänderte Adresse gesendet werden, anschließend als Merge Request des Token-Inhabers.

Der Absender muss dafür nicht das E-Mail-Konto des Besitzers verwenden. Aikidos Tests zeigten außerdem, dass eingehende E-Mails die IP-Adressbeschränkungen von GitLab umgingen.

Welche Zugriffsrechte ein Angreifer erhält, hängt von den Berechtigungen des Token-Inhabers ab. Unter bestimmten Umständen könnten die daraus resultierenden Aktivitäten private Repositorys, Codeänderungen oder CI/CD-Prozesse betreffen. Ein Angreifer benötigt außerdem den Pfad und die ID des Zielprojekts. Die Kenntnis der E-Mail-Adresse allein hebt diese Anforderungen nicht auf.

Forscher fanden Adressen in öffentlicher Dokumentation

Aikido fand während einer Suche an einem einzigen Nachmittag etwa ein Dutzend aktive eingehende Adressen. Einige gehörten zu beliebten Open-Source-Projekten.

Die Forscher meldeten das Problem im Mai 2026 an GitLab. GitLab schloss den Bericht mit der Begründung, dass es sich um beabsichtigtes Verhalten handle. Nach einer weiteren Meldung im Juni aktualisierte GitLab seine Benutzeroberfläche und Dokumentation, um die Merge-Request-Funktion und die Auswirkungen auf IP-Beschränkungen zu erläutern.

Die GitLab-Dokumentation warnt Benutzer davor, diese Adressen öffentlich zu machen. Demnach kann jeder, der eine solche Adresse kennt, Issues oder Merge Requests im Namen des Besitzers erstellen.

Projektverantwortliche sollten offengelegte Tokens zurücksetzen

Projektverantwortliche sollten alle veröffentlichten E-Mail-Adressen von GitLab-Projekten aus öffentlichen Dokumentationen entfernen. Wenn eine Adresse bereits öffentlich zugänglich war, sollten sie das zugehörige Token zurücksetzen und das Projekt auf unerwartete Arbeitselemente oder Merge Requests überprüfen.