GitLab kampt met een uiterst kritieke kwetsbaarheid, die aanvallers eenvoudig kunnen misbruiken.
GitLab heeft een kritieke kwetsbaarheid in GitLab CE en EE gedicht. Een aanvaller zonder account kon via een zogenaamde gemanipuleerde reguliere expressie in een CI/CD-configuratie code uitvoeren op de server.
GitLab bracht pas oktober de versies 19.4.2, 19.3.4 en 19.2.8 uit van GitLab Community Edition (CE) en Enterprise Edition (EE). Die patchrelease dicht 24 kwetsbaarheden. Eén daarvan, CVE-2026-97229, krijgt een CVSS-score van 10,0. Dat is de hoogst mogelijke score, gereserveerd voor impactvolle en eenvoudig te misbruiken kwetsbaarheden.
Malafide expressie
Het probleem zit in de compiler die reguliere expressies in CI/CD-configuraties verwerkt. Reguliere expressies zijn zoekpatronen voor tekst, die ontwikkelaars onder meer gebruiken om in hun pipelineconfiguratie regels op te stellen.
GitLab spreekt van een integer overflow. Daarbij wordt een getal groter dan de ruimte die het systeem ervoor voorziet, waarna de software met een foute waarde verder werkt. Omdat GitLab de reguliere expressies onvoldoende controleerde, kon een speciaal opgestelde expressie onder bepaalde voorwaarden leiden tot het uitvoeren van willekeurige code op de GitLab-server.
Geen account nodig
De aanvaller hoeft niet aangemeld te zijn en heeft geen hulp nodig van een gebruiker die ergens op klikt. Volgens de CVSS-vector verloopt de aanval via het netwerk en is die weinig complex.
Op een GitLab-server staan doorgaans de broncode en de pipelines van een organisatie. Een aanvaller die er eigen code kan laten draaien, krijgt daar in principe toegang toe.
Snel updaten
GitLab raadt alle zelfbeheerde installaties met een getroffen versie aan om zo snel mogelijk naar 19.4.2, 19.3.4 of 19.2.8 te updaten. GitLab.com draait de gepatchte versie al en klanten van GitLab Dedicated hoeven niets te doen. Omdat de update databasemigraties bevat, gaan installaties op één node tijdens de upgrade offline. Installaties met meerdere nodes kunnen zonder downtime updaten via de procedure die GitLab daarvoor voorziet.
Het lek werd gemeld door de onderzoeker joaxcar via het bugbountyprogramma van GitLab op HackerOne. Daarnaast dicht de release vijf kwetsbaarheden met een hoge ernst, waaronder een cross-site scripting-lek in syntax highlighting en een prompt-injectie in het GitLab Duo Agent Platform.