GitLab CE/EE: aktiv ausgenutzte Schwachstelle ermöglicht Remote-Code-Ausführung ohne Anmeldung

Was ist passiert

GitLab Community Edition (CE) und Enterprise Edition (EE) enthalten eine Schwachstelle, die als CVE-2026-97229 erfasst wird. Es handelt sich um einen Integer-Überlauf (Integer Overflow bzw. Wraparound), der durch unzureichende Validierung von regulären Ausdrücken verursacht wird. Ein nicht authentifizierter Angreifer kann einen speziell präparierten regulären Ausdruck in einer CI/CD-Konfiguration verwenden, um beliebigen Code auf dem GitLab-Server auszuführen.

Die Schwachstelle hat einen CVSS-Basiswert von 10, die höchstmögliche Bewertung. CISA führt sie im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities), was bedeutet, dass sie in freier Wildbahn ausgenutzt wird. GitLab hat eine Patch-Version veröffentlicht. Die Ankündigung zu GitLab 19.4.2 ist in den unten verlinkten Quellen aufgeführt.

Wer ist betroffen

Sie sind betroffen, wenn Sie eine selbst betriebene GitLab-CE- oder EE-Instanz betreiben, die das Update des Herstellers noch nicht erhalten hat. Die Quelldaten nennen nicht die genauen betroffenen und korrigierten Versionen für jede Release-Linie. Prüfen Sie die unten verlinkte Ankündigung zum GitLab-Patch-Release für Ihre Version.

Das Risiko ist am höchsten für Instanzen, die aus dem Internet erreichbar sind, da zur Ausnutzung der Lücke keine Anmeldung erforderlich ist. Ein erfolgreicher Angriff ermöglicht dem Angreifer die Codeausführung auf dem GitLab-Server. Dieser Server enthält typischerweise Quellcode, CI/CD-Geheimnisse, Deploy-Keys und Zugangsdaten für andere Systeme.

Wenn Ihre GitLab-Instanz bei einem Dienstleister gehostet wird, vergewissern Sie sich bei diesem, dass das Update eingespielt wurde.

Was Sie jetzt tun sollten

1. Ermitteln Sie alle selbst betriebenen GitLab-Instanzen, die Sie oder Ihre Kunden betreiben, einschließlich Test- und Staging-Systemen.
2. Sichern Sie Konfiguration und Geheimnisse vor dem Update. Bei Omnibus-Installationen betrifft das mindestens /etc/gitlab/gitlab.rb und /etc/gitlab/gitlab-secrets.json. Eine Datensicherung mit sudo gitlab-backup create wird ebenfalls empfohlen.
3. Ermitteln Sie die korrigierte Version für Ihre Release-Linie in der unten verlinkten Ankündigung zum GitLab-Patch-Release.
4. Aktualisieren Sie GitLab über Ihren Paketmanager, zum Beispiel mit sudo apt update && sudo apt install gitlab-ee (bzw. gitlab-ce) auf Debian/Ubuntu oder dem entsprechenden yum- bzw. dnf-Befehl auf RHEL-basierten Systemen. Bei Docker-Installationen laden Sie das gepatchte Image und erstellen den Container neu.
5. Prüfen Sie nach dem Update mit sudo gitlab-ctl status, ob alle Dienste laufen. Öffnen Sie die Weboberfläche, um zu kontrollieren, ob sie normal reagiert.
6. Falls Sie nicht sofort aktualisieren können, beschränken Sie den Zugriff auf die Instanz aus dem Internet, beispielsweise per Firewall oder VPN, bis der Patch installiert ist.
7. Da die Lücke aktiv ausgenutzt wird, prüfen Sie exponierte Instanzen auf Anzeichen einer Kompromittierung, wie unten beschrieben. Falls Sie welche finden, rotieren Sie CI/CD-Variablen, Zugriffstoken, Deploy-Keys und Runner-Registrierungstoken.

So prüfen Sie, ob Sie betroffen sind

• Prüfen Sie die installierte Version mit sudo gitlab-rake gitlab:env:info oder lesen Sie /opt/gitlab/version-manifest.txt bei Omnibus-Installationen. In der Weboberfläche wird die Version auf der Hilfe-Seite angezeigt. Vergleichen Sie sie mit den korrigierten Versionen in der Herstellerankündigung.
• Prüfen Sie die letzten Änderungen an CI/CD-Konfigurationsdateien (.gitlab-ci.yml) und Pipelines auf unerwartete oder ungewöhnlich komplexe reguläre Ausdrücke, insbesondere von unbekannten Benutzern oder Projekten.
• Untersuchen Sie die GitLab-Logs unter /var/log/gitlab/ auf ungewöhnliche Aktivitäten. Dazu gehören gitlab-rails/production_json.log und die Sidekiq-Logs.
• Achten Sie auf unbekannte Prozesse, neue Benutzerkonten, neue SSH-Schlüssel oder persönliche Zugriffstoken sowie unerwartete ausgehende Verbindungen auf dem GitLab-Server.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-97229
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog