Organisationen, die verwundbare GitLab-Server betreiben, sind aktiven Angriffen auf CVE-2026-97229 ausgesetzt. Die Schwachstelle hat den höchstmöglichen Schweregrad und kann es Angreifern unter bestimmten Bedingungen erlauben, Code auszuführen, ohne sich anzumelden. Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat die Schwachstelle am 29. Oktober in ihren Katalog ausgenutzter Schwachstellen aufgenommen. Damit steht die Behebung für Administratoren ganz oben auf der Agenda.
Sowohl GitLab Community Edition (CE) als auch Enterprise Edition (EE) sind betroffen. BleepingComputer berichtete am 30. Oktober, dass GitLab das Problem bereits früher in diesem Monat in den Versionen 19.4.2, 19.3.5 und 19.2.8 behoben hat. Das Unternehmen hat außerdem Erkennungsregeln für Bedrohungen veröffentlicht, nachdem Ausnutzungsversuche beobachtet worden waren. Diese Regeln richten sich an Kunden, die selbst verwaltete Instanzen betreiben.
Der Angriff erreicht den Server über einen speziell gestalteten regulären Ausdruck, also ein Muster zum Abgleichen von Text, in einer CI/CD-Konfiguration. Diese legt automatisierte Arbeitsschritte für das Erstellen und Bereitstellen von Software fest. Die Schwachstelle liegt im Regular Expression Compiler von GitLab und beruht auf einem Integer-Überlauf, bei dem eine Berechnung den numerischen Wertebereich der Software überschreitet. BleepingComputer zitierte GitLab mit der Aussage, dass eine unzureichende Validierung dieser Ausdrücke unter bestimmten Bedingungen einem nicht angemeldeten Nutzer erlauben könnte, Code auf dem Server auszuführen.
Die potenzielle Gefährdung betrifft mehr als nur einige wenige Installationen. BleepingComputer verwies auf die Zählung von Shadowserver, wonach nahezu 2.800 öffentlich erreichbare GitLab-CE-Instanzen existieren. Ihr Patch-Status war jedoch nicht angegeben.
Die Binding Operational Directive 26-04 der CISA verpflichtet die zivilen Behörden der US-Bundesexekutive, qualifizierende, aktiv ausgenutzte Schwachstellen auf öffentlich zugänglichen Systemen vorrangig zu behandeln. Außerdem legt sie fest, dass vor dem Patchen eine Prüfung auf Kompromittierung durchzuführen ist. BleepingComputer berichtete von einer Frist zur Behebung dieser Schwachstelle am Sonntag. Diese Vorgaben gelten für die genannten Bundesbehörden. CISA ermutigt andere Organisationen ebenfalls, die Behebung vorrangig anzugehen.
Administratoren betroffener GitLab-Server sollten dem Aufruf des Unternehmens folgen und sofort patchen, indem sie je nach Release-Linie 19.4.2, 19.3.5 oder 19.2.8 installieren. Kunden mit selbst verwalteten Instanzen können zudem die von GitLab veröffentlichten Erkennungsregeln für Bedrohungen nutzen, um ihre Untersuchung der Ausnutzungsversuche zu unterstützen.
