Beschreibung:
Der Hersteller GitLab veröffentlichte am 12.10.2026 die Versionen 19.4.2, 19.3.5 und 19.2.8 von GitLab Community Edition (CE) und Enterprise Edition (EE). Diese beheben insgesamt 24 Sicherheitslücken, darunter eine kritische Schwachstelle, die es nicht authentifizierten Angreifenden ermöglichen kann, beliebigen Code auf dem Server auszuführen.
CVE-2026-97229 liegt im Regular Expression Compiler für CI/CD. Aufgrund unzureichender Validierung von regulären Ausdrücken kommt es zu einem Integer Overflow. Ein speziell präparierter regulärer Ausdruck in einer CI/CD-Konfiguration kann anschließend zur Codeausführung führen.
Neben der kritischen Schwachstelle wurden weitere Schwachstellen mit hohem Schweregrad behoben:
- CVE-2026-97229 - Integer Overflow im CI/CD Regular Expression Compiler, führt zur Ausführung von beliebigem Code durch nicht authentifizierte Angreifende - CVSS 10.0
- CVE-2026-92883 - Cross-Site Scripting bei der Syntaxhervorhebung, ermöglicht authentifizierten Benutzer:innen die Ausführung von beliebigem JavaScript im Browser anderer Benutzer:innen über ein präpariertes Repository - CVSS 8.7
- CVE-2026-16301 - Fehlerhafte Autorisierung im Downstream Pipeline Creation Service, ermöglicht Benutzer:innen mit Developer-Rolle die Ausführung von Pipelines auf geschützten Branches ohne Berechtigung - CVSS 8.5
- CVE-2026-14814 - Permissive Regular Expression beim Zugriff auf Repository-Dateien, ermöglicht Cache Poisoning und kann zur Offenlegung geschützter CI/CD-Variablen führen - CVSS 8.2
- CVE-2026-81839 - Fehlerhafte Autorisierung bei Scheduled Pipeline Execution Policies (nur EE) - CVSS 7.7
- CVE-2026-96893 - Unzureichende Neutralisierung von Eingaben für LLM-Prompts in der GitLab Duo Agent Platform (nur EE) - CVSS 7.3
Betroffene Systeme:
Betroffen sind selbst verwaltete (self-managed) Installationen von GitLab CE/EE.
Für CVE-2026-97229:
GitLab CE/EE 19.2 BEFORE 19.2.8
GitLab CE/EE 19.3 BEFORE 19.3.5
GitLab CE/EE 19.4 BEFORE 19.4.2
Einige der weiteren Schwachstellen betreffen auch deutlich ältere Versionen (teilweise ab 10.3). Von Versionen vor 19.2 ist daher ebenfalls abzuraten.
GitLab.com wird bereits mit der gepatchten Version betrieben. Für GitLab-Dedicated-Kund:innen sind keine Maßnahmen erforderlich.
Behobene Version:
GitLab CE/EE 19.4.2 and later releases
GitLab CE/EE 19.3.5 and later releases of 19.3
GitLab CE/EE 19.2.8 and later releases of 19.2
Die Version 19.3.4 enthielt laut Hersteller einen Fehler, der Merge-Request-Seiten bei aktivierter Ona-Integration betraf. Dieser wurde in 19.3.5 behoben. Für 19.3 sollte daher direkt 19.3.5 eingesetzt werden.
Empfohlene Maßnahmen:
Es wird dringend empfohlen, alle selbst verwalteten GitLab-CE/EE-Instanzen schnellstmöglich auf eine der behobenen Versionen zu aktualisieren, beginnend mit aus dem Internet erreichbaren Instanzen. Instanzen mit Versionen vor 19.2 sollten auf eine aktuell unterstützte Version aktualisiert werden.
Bei Single-Node-Instanzen kommt es während des Updates zu Downtime, da Datenbankmigrationen abgeschlossen werden müssen, bevor GitLab startet. Multi-Node-Instanzen können bei Einhaltung der Zero-Downtime-Upgrade-Prozedur ohne Ausfall aktualisiert werden.
Im Security Bulletin werden keine Workarounds genannt. Bis zur Aktualisierung sollte der Zugriff auf Instanzen, die nicht öffentlich erreichbar sein müssen, z. B. über VPN oder IP-Einschränkungen, begrenzt werden.
Einschätzung der Bedrohung:
Zum Zeitpunkt der Veröffentlichung finden sich in den ausgewerteten Quellen (GitLab, CERT-EU) keine Hinweise auf eine aktive Ausnutzung von CVE-2026-97229. Ein öffentlich verfügbarer Proof-of-Concept sowie ein Eintrag im CISA Known Exploited Vulnerabilities (KEV) Katalog konnten ebenfalls nicht festgestellt werden. Die technischen Details sind bislang nur eingeschränkt veröffentlicht. Laut GitLab werden die Details der Schwachstellen erst 90 Tage nach dem Release im öffentlichen Issue Tracker freigegeben.
Das Risiko ist dennoch als hoch einzustufen. CVE-2026-97229 ist laut CVSS-Vektor über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion mit geringer Komplexität ausnutzbar und hat Auswirkungen über die angegriffene Komponente hinaus (Scope Changed). GitLab-Server enthalten typischerweise Quellcode, CI/CD-Secrets und Zugangsdaten zu nachgelagerten Systemen und sind damit ein attraktives Ziel für Supply-Chain-Angriffe.
Wie schnell GitLab-Schwachstellen angegriffen werden, zeigte zuletzt CVE-2026-85706 (CVSS 10.0, unauthentifiziertes Lesen beliebiger Dateien): Rund einen Tag nach Veröffentlichung des Patches wurden Scan- und Ausnutzungsversuche beobachtet, und CISA nahm die Schwachstelle am 11.09.2026 in den KEV-Katalog auf.
Weiterführende Links:
-1.png?width=238&height=69&name=acp_itforinnovators_logo_RGB%20(1)-1.png "Logo | ACP - IT for innovators."){kind=logo}
