GitLab hat am Donnerstag zwei kritische Sicherheitslücken geschlossen und Betreiber selbstverwalteter Installationen zu einem sofortigen Update gedrängt. Die gravierendere der beiden, CVE-2026-85706, erreicht die maximale Schwerewertung: Ursache ist eine mangelhafte Pfadbeschränkung in Kombination mit einer fehlenden Authentifizierungsprüfung in der Commits-API für Repositories.
Laut GitLab können Angreifer ohne vorherige Anmeldung die Schwachstelle “unter bestimmten Bedingungen” nutzen, um beliebige Dateien von betroffenen Servern zu lesen. Aufgespürt hat den Fehler ein Sicherheitsforscher, der unter dem Kürzel “s3ntago” auftritt; gemeldet wurde er über das HackerOne-Bug-Bounty-Programm des Herstellers.
Die zweite kritische Lücke, CVE-2026-87719, wurde einen Tag zuvor behoben. Sie geht auf eine unsichere Deserialisierung im Serialisierer für GraphQL-Subscriptions zurück und betrifft ausschließlich die Enterprise Edition. Authentifizierte Nutzer mit Zugang zu Duo Chat können darüber sensible Zugangsdaten sowie Konfigurationsdaten der Advanced-Search-Instanz abgreifen.
Korrigiert sind beide Probleme in den Versionen 19.3.2, 19.2.6 und 19.1 von Community Edition und Enterprise Edition. “Diese Versionen enthalten wichtige Fehler- und Sicherheitskorrekturen, und wir empfehlen dringend, alle selbstverwalteten GitLab-Installationen unverzüglich auf eine dieser Versionen zu aktualisieren”, teilte das Unternehmen mit. GitLab.com laufe bereits mit der gepatchten Fassung, Kunden von GitLab Dedicated müssten nichts unternehmen.
Path-Traversal-Fehler sind für GitLab kein Novum: Bereits im Mai 2023 hatte der Anbieter eine gleichfalls maximal bewertete Lücke dieser Art geschlossen (CVE-2023-2825), über die sich unter anderem proprietärer Quellcode, Zugangsdaten, Token und weitere Dateien auf ungepatchten Servern auslesen ließen. Ein Jahr darauf riefen die US-Behörden CISA und FBI Softwarehersteller dazu auf, solche Fehler vor der Auslieferung konsequent zu beseitigen — derartige Schwachstellen würden seit mindestens 2007 als “unverzeihlich” bezeichnet.
Im Januar hatte GitLab zudem eine als hoch eingestufte Umgehung der Zwei-Faktor-Authentifizierung in Community und Enterprise Edition behoben. Angreifer, denen die Konto-ID eines Ziels bekannt ist, konnten den zweiten Faktor damit aushebeln.
Dass GitLab-Server im Visier stehen, zeigt der Katalog bekannter ausgenutzter Schwachstellen der CISA: Seit November 2021 hat die Behörde vier GitLab-Lücken als in Angriffen missbraucht eingestuft, zwei davon — CVE-2021-22175 und CVE-2021-39935 — im Februar dieses Jahres.
Die Angriffsfläche ist entsprechend groß. GitLab beziffert die Zahl der registrierten Nutzer seiner DevSecOps-Plattform auf mehr als 30 Millionen; mehr als die Hälfte der Fortune-100-Unternehmen setzt sie ein, darunter Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs und UBS.