CISA warnt vor Ausnutzung einer kritischen GitLab-Schwachstelle

Die Cybersecurity and Infrastructure Security Agency hat eine Warnung herausgegeben, dass Hacker eine Schwachstelle mit höchster Schwerestufe bei GitLab aktiv für Angriffe nutzen.

Die unter dem Code CVE-2026-85706 geführte Lücke ist eine sogenannte Pfadtraversierung in der API für Repository-Commits. Sie entsteht durch eine fehlende Authentifizierung in Kombination mit einer unzureichenden Einschränkung des Pfadbereichs. Dies ermöglicht es nicht authentifizierten Angreifern, Anmeldedaten, Geheimnisse und andere sensible Informationen von betroffenen Servern zu lesen.

GitLab hat Korrekturen für die Community Edition und die Enterprise Edition in den Versionen 19.3.2, 19.2.6 und 19.1 veröffentlicht. Die Plattform wird von mehr als 50 Prozent der Fortune 100 Unternehmen genutzt und hat weltweit über 30 Millionen registrierte Nutzer.

Obwohl GitLab selbst noch nicht bestätigt hat, dass die Lücke ausgenutzt wurde, meldete das Sicherheitsunternehmen watchTowr einen Tag nach der Veröffentlichung der Patches Scans im Internet. Die Intelligence-Teams von watchTowr stellten Versuche fest, die Lücke in der freien Wildbahn zu prüfen, wobei bereits eine einzige HTTP-Anfrage ausreicht, um beliebige Dateien im System zu lesen.

Zur Überprüfung von Angriffen empfiehlt watchTowr die Analyse von Protokolldateien auf HTTP-POST-Anfragen an die URI /api/v4/projects/{id}/repository/commits/, die den Parameter file.path enthalten.

CISA hat die Schwachstelle in den Katalog für aktiv ausgenutzte Schwachstellen aufgenommen. US-Regierungsbehörden müssen die Lücke gemäß der Richtlinie Binding Operational Directive 26-04 innerhalb von drei Tagen schließen. CISA rät auch privaten Netzwerkadministratoren zur sofortigen Aktualisierung ihrer Systeme.

Seit November 2021 hat CISA insgesamt vier GitLab-Schwachstellen als aktiv ausgenutzt eingestuft. Zwei davon, CVE-2021-22175 und CVE-2021-39935, wurden erst im Februar dieses Jahres hinzugefügt. Zudem hatte GitLab im Januar einen Patch für eine hohe Schwerestufe veröffentlicht, die es Angreifern ermöglichte, die Zwei-Faktor-Authentifizierung zu umgehen, wenn die Konto-ID des Ziels bekannt war.