Die GitLab-Entwickler raten ihren Nutzern aufgrund von teils schwerwiegenden Sicherheitslücken zu einem zügigen Update. Über diese Lücken können Angreifer Instanzen mit Schadcode attackieren. Entsprechende Sicherheitsupdates wurden bereits veröffentlicht.

Die Entwickler schreiben in einer Warnmeldung, dass die Lücken in GitLab 19.2.8, 19.3.5 und 19.4.2 geschlossen sein sollen. Bereits reparierte Versionen sollen auf GitLab.com laufen. Ebenfalls nicht aktiv müssen Kunden von GitLab Dedicated werden. Admins, die selber Instanzen betreiben, müssen hingegen aktualisieren. Der Softwarehersteller hat bislang keine Angriffe auf die Schwachstellen kommuniziert.

Eine „kritische“ Lücke mit maximalem CVSS-Score 10 von 10 (CVE-2026-97229) gilt als am gefährlichsten. Angreifer können darüber ohne Authentifizierung ansetzen und mit einem präparierten regulären Ausdruck in einer CI/CD-Konfiguration Schadcode auf GitLab-Servern ausführen.

Zudem existieren fünf weitere Lücken mit dem Bedrohungsgrad „hoch“. Angreifer können darüber unter anderem für XSS-Attacken (CVE-2026-92883) ansetzen oder als Nutzer mit Developer-Rolle unerlaubt CI/CD-Pipelines auf geschützten Branches ausführen (CVE-2026-16301).

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE