Schwachstelle zur Codeausführung in GitLab führt zu dringender Aufforderung zur Installation eines Sicherheitspatches

Eine Sicherheitslücke mit dem höchsten Schweregrad, die eine Codeausführung in GitLab ermöglicht, hat eine dringende Warnung für Administratoren selbstverwalteter Installationen ausgelöst. Die Schwachstelle könnte es entfernten Angreifern ermöglichen, beliebigen Code auszuführen, ohne sich anzumelden.

GitLab veröffentlichte das Problem am 12. Oktober und stellte Sicherheitsupdates für betroffene Versionen der Community Edition (CE) und Enterprise Edition (EE) bereit. GitLab.com verwendet bereits die aktualisierte Software, während Kunden von GitLab Dedicated keine weiteren Maßnahmen ergreifen müssen.

Schwachstelle betrifft die Verarbeitung von CI/CD-Konfigurationen

Die unter CVE-2026-97229 erfasste Schwachstelle betrifft einen Integer-Überlauf im CI/CD-Compiler für reguläre Ausdrücke von GitLab. Diese Komponente verarbeitet reguläre Ausdrücke innerhalb der Pipeline-Konfigurationsdateien von Projekten.

Unter bestimmten Bedingungen könnte ein Angreifer eine unzureichende Validierung ausnutzen, indem er einen speziell präparierten regulären Ausdruck in einer CI/CD-Konfiguration platziert. Dadurch könnte der Server vom Angreifer kontrollierten Code ausführen.

Der Angriff erfordert keine Authentifizierung. GitLab beschreibt in seiner Sicherheitsmitteilung jedoch, dass die Ausnutzung von bestimmten Bedingungen abhängt und nicht bei jeder Installation unabhängig von ihrer Konfiguration möglich ist.

Ein Sicherheitsforscher meldete das Problem über das Bug-Bounty-Programm von GitLab auf HackerOne.

Korrekturen für Codeausführung in GitLab umfassen drei Versionszweige

Die betroffenen Versionen erstrecken sich über drei GitLab-Versionszweige. Administratoren sollten ihre installierte Version mit den folgenden Bereichen vergleichen:

• 19.2: Versionen vor 19.2.8.
• 19.3: Versionen vor 19.3.4.
• 19.4: Versionen vor 19.4.2.

GitLab empfiehlt, betroffene selbstverwaltete Installationen umgehend auf die entsprechende korrigierte Version zu aktualisieren. Diese Updates enthalten außerdem weitere Sicherheitskorrekturen und Fehlerbehebungen.

Bei Organisationen, die GitLab.com verwenden, hat der Plattformbetreiber das Update bereits installiert. Ebenso erklärt GitLab, dass Dedicated-Kunden selbst keine Änderungen vornehmen müssen.

Frühere GitLab-Schwachstellen wurden bereits für Angriffe ausgenutzt

Die jüngste Warnung folgt auf mehrere weitere schwerwiegende Sicherheitsprobleme bei GitLab in diesem Jahr.

Im Januar behob GitLab CVE-2026-0723, eine Schwachstelle, die eine Umgehung der Zwei-Faktor-Authentifizierung in der Community Edition und Enterprise Edition ermöglichte. Angreifer, die die Konto-ID eines Ziels kannten, konnten dadurch die zusätzliche Authentifizierungsprüfung umgehen.

Im September behob GitLab anschließend CVE-2026-85706, eine Path-Traversal-Schwachstelle mit dem höchsten Schweregrad. Sie ermöglichte es nicht authentifizierten Angreifern, auf sensible Serverdaten zuzugreifen, darunter Anmeldedaten und andere geheime Informationen.

CISA nahm die Schwachstelle aus dem September daraufhin in seinen Katalog bekannter ausgenutzter Schwachstellen, den Known Exploited Vulnerabilities Catalog, auf. Die Behörde gab US-Bundesbehörden außerdem drei Tage Zeit, um betroffene Systeme abzusichern.

Diese Berichte über eine aktive Ausnutzung beziehen sich auf die frühere Path-Traversal-Schwachstelle. Die Angaben in der vorliegenden Sicherheitsmitteilung belegen nicht, dass die neue Schwachstelle im Compiler für reguläre Ausdrücke bereits aktiv ausgenutzt wird.