Angribere udnytter en kritisk GitLab-sårbarhed til at stjæle følsomme data fra servere, der ikke er blevet opdateret. Forskere har fundet 12 offentlige repositories med exploitkode, mens omkring 13.700 eksponerede systemer fortsat kan være sårbare.
Angribere udnytter kritisk GitLab-sårbarhed
Sårbarheden, der spores som CVE-2026-85706, påvirker GitLab Community Edition og Enterprise Edition. Den har fået den højest mulige alvorlighedsgrad.
Censys opdagede mindst 12 separate offentlige repositories, der indeholder exploitkode til sårbarheden. Samtidig retter trusselsaktører aktive angreb mod GitLab-instanser, der er tilgængelige via internettet.
USA’s Cybersecurity and Infrastructure Security Agency bekræftede den aktive udnyttelse. CISA føjede sårbarheden til sit Known Exploited Vulnerabilities-katalog den 11. september.
Myndigheden gav derefter føderale organisationer tre dage til at gennemføre de nødvendige sikkerhedsforanstaltninger.
GitLab tilbyder en selvhostet platform til softwareudvikling, sikkerhed og IT-drift. Ifølge en myndighedsindberetning har tjenesten mere end 50 millioner registrerede brugere. Halvdelen af virksomhederne på Fortune 100-listen bruger også platformen.
Path traversal-fejl eksponerer følsomme filer
CVE-2026-85706 er en path traversal-sårbarhed. Under visse forhold kan en uautoriseret angriber udnytte den til at læse vilkårlige filer fra en sårbar server.
Offentlig exploitkode viser, hvordan angribere kan få adgang til filen gitlab-secrets.json. Denne fil indeholder nøgler, som GitLab bruger til at kryptere hemmeligheder, der gemmes på platformen.
Disse hemmeligheder kan omfatte CI/CD-variabler, deploy-nøgler og integrationstokens. Udviklingspipelines er afhængige af sådanne legitimationsoplysninger for at oprette forbindelse til andre tjenester.
Som følge heraf kan angribere få adgang til cloudkonti, containerregistre og repositories med kildekode. De kan derefter bruge de stjålne legitimationsoplysninger til at iværksætte et bredere angreb mod softwareforsyningskæden.
Organisationer behandler ofte GitLab både som et udviklingsværksted og en sikker boks. Instanser kan indeholde proprietær kildekode, automatiseringsscripts, sikkerhedspolitikker og andre følsomme interne ressourcer.
Derfor kan uautoriseret adgang skabe risici langt ud over den oprindelige GitLab-server.
Tusindvis af servere er fortsat sårbare
Censys identificerede 86.231 interneteksponerede hosts, der kører GitLab. Disse servere svarede til 208.186 individuelle webegenskaber.
Kina havde det største antal eksponerede hosts med 19.435 systemer. USA fulgte med 13.242, mens Tyskland havde 12.249.
Forskerne talte også 8.639 eksponerede hosts i Rusland og 5.062 i Frankrig. Andre lande stod for de resterende systemer.
Eksponering alene betyder dog ikke, at hver server fortsat er sårbar. Data fra Shadowserver Foundation viser, at mindst 13.700 eksponerede systemer stadig mangler beskyttelse mod CVE-2026-85706.
USA har angiveligt den største andel af disse sårbare servere.
Organisationer bør rotere gemte legitimationsoplysninger
Censys advarede organisationer om at betragte legitimationsoplysninger, der er gemt på sårbare interneteksponerede instanser, som potentielt kompromitterede.
Administratorer bør straks rotere CI/CD-hemmeligheder, deploy-nøgler og integrationstokens. De bør også undersøge deres GitLab-miljøer for tegn på uautoriseret adgang.
Denne gennemgang bør også omfatte tilknyttede cloudplatforme, repositories og containerregistre. Angribere kan bruge stjålne legitimationsoplysninger, efter at administratorer har opdateret den oprindelige GitLab-server.
Derfor er installation af en opdatering alene muligvis ikke nok til at fjerne den bredere risiko. Organisationer skal også ugyldiggøre eksponerede hemmeligheder og undersøge tilknyttede tjenester for mistænkelig aktivitet.
GitLab udsender kritiske sikkerhedsopdateringer
GitLab rettede CVE-2026-85706 i en sikkerhedsopdatering, der løste 18 sårbarheder. Opdateringen omfattede patches til to kritiske sikkerhedsfejl.
Virksomheden anbefaler kraftigt at opgradere alle selvadministrerede installationer til en af de seneste rettede versioner:
- GitLab 19.3.2
- GitLab 19.2.6
- GitLab 19.1.8
Dette er den anden kritiske GitLab-sårbarhed, der påvirker uautoriserede brugere, på mindre end en måned.
GitLab offentliggjorde en separat kritisk GraphQL-sårbarhed den 17. august. Angribere begyndte at udnytte den mindre end 24 timer senere til at ændre eller slette offentlige projekter og brugerdata.
Den seneste GitLab-sårbarhed viser igen, hvor hurtigt angribere tager nyligt offentliggjorte sikkerhedsfejl i brug. Administratorer bør opdatere straks, rotere eksponerede legitimationsoplysninger og undersøge alle berørte systemer.
0 svar til “GitLab-sårbarhed eksponerer hemmeligheder på tusindvis af servere”