GitLab schließt kritische Sicherheitslücke mit CVSS 10.0 – Updates für alle Versionen
GitLab hat am Mittwoch Sicherheitsupdates für die Versionen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 der Community Edition (CE) und Enterprise Edition (EE) veröffentlicht. Die Updates schließen insgesamt zwölf Sicherheitslücken, davon eine als kritisch (CVSS 10.0) eingestuft.
Die kritische Lücke im Detail
Mit CVE-2026-110264 kann ein nicht angemeldeter Angreifer unter bestimmten Bedingungen beliebigen Code auf dem Server ausführen. Auslöser ist ein Integer Overflow beim Kompilieren präparierter regulärer Ausdrücke. Betroffen sind alle Versionen ab 7.0. Laut GitLab sind Angriffe auf die Lücke bislang nicht bekannt. Die Lücke betrifft alle genannten Versionszweige; für die älteren Zweige (19.2.9, 19.1.9, 19.0.10, 18.11.13) ist jedoch nur der Fix für diese eine kritische Lücke enthalten.
Weitere Schwachstellen
Zwei weitere Lücken haben das Bedrohungspotenzial „high“: CVE-2026-15723 (CVSS 8.2) ermöglicht angemeldeten Nutzern, fremde LDAP-Konten zu übernehmen, sofern OmniAuth-SAML und LDAP-Auto-Linking gleichzeitig aktiviert sind. CVE-2026-112212 (CVSS 7.5) erlaubt nicht angemeldeten Angreifern, das OAuth/OIDC-Discovery-Dokument in einem gemeinsam genutzten Cache zu manipulieren und so bestimmte OAuth-Abläufe auf einen eigenen Server umzuleiten.
Fünf weitere Fixes betreffen Sicherheitslücken mit dem Bedrohungspotenzial „medium“ und vier weitere solche mit „low“. Die Updates enthalten zudem Bugfixes.
Handlungsempfehlungen
GitLab empfiehlt, alle selbstverwalteten Installationen umgehend zu aktualisieren. Wer alle zwölf Lücken schließen will, muss auf Version 19.3.6, 19.4.3 oder 19.5.1 aktualisieren. GitLab.com und GitLab-Dedicated-Instanzen laufen bereits mit der gepatchten Version.
Für selbstverwaltete Instanzen hat GitLab zudem zwei Erkennungsregeln veröffentlicht, mit denen sich Ausnutzungsversuche der kritischen Lücke aufspüren lassen. Organisationen in Deutschland, die GitLab in Behörden, Krankenhäusern oder KMU einsetzen, sollten die Updates sofort einplanen und die Erkennungsregeln aktivieren.
No responses yet