Een regex-compiler wordt een toegangspoort
GitLab repareerde op 12 oktober CVE-2026-97229, een integer overflow met CVSS 10,0 in de compiler die reguliere expressies verwerkt in de CI/CD-pipelineconfiguratie. Onder bepaalde voorwaarden, zegt het advies van GitLab, kon een ongeauthenticeerde gebruiker willekeurige code uitvoeren op de GitLab-server via een speciaal opgestelde reguliere expressie in een CI/CD-configuratie.
Het advies licht die voorwaarden niet toe, en geen van de drie berichten die wij lazen doet dat wel. Een onderzoeker met de naam joaxcar meldde het lek via GitLabs HackerOne-bugbountyprogramma. GitLab.com draait al op de gepatchte versie en GitLab Dedicated-klanten hoeven niets te doen, maar beheerders van zelfbeheerde instanties moeten direct updaten. Volgens heise had GitLab op 13 oktober geen aanvallen gemeld.
| Releaselijn | Kwetsbaar | Opgelost in |
|---|---|---|
| GitLab 19.2 | Vóór 19.2.8 | 19.2.8 |
| GitLab 19.3 | Vóór 19.3.5 | 19.3.5 |
| GitLab 19.4 | Vóór 19.4.2 | 19.4.2 |
In dezelfde release zijn drie lekken met hoge ernst opgelost. CVE-2026-92883 (8,7) is een cross-site-scriptinglek. CVE-2026-16301 (8,5) laat een gebruiker met de Developer-rol pipelines draaien op beschermde branches. CVE-2026-14814 (8,2) kan gecachete antwoorden vergiftigen en beschermde omgevingsvariabelen blootleggen. Heise telt in totaal vijf lekken met hoge ernst.
Drie kritieke GitLab-lekken in een paar weken
CVE-2026-97229 is GitLabs derde kritieke lek in de afgelopen weken, en dat van september liet zien hoe snel aanvallers zijn.
| CVE | CVSS | Component | Gemelde gevolgen |
|---|---|---|---|
| CVE-2026-85706 | 10,0 | GitLab CE en EE | Uitlezen van gevoelige gegevens zoals inloggegevens en geheimen zonder authenticatie, met verkenning binnen uren na bekendmaking en een CISA-vermelding een dag na de fix |
| CVE-2026-90970 | 9,9 | AI Gateway | Een geauthenticeerde gebruiker met toegang tot het Duo Agent Platform kon uit de prompttemplate-sandbox breken en opdrachten uitvoeren |
| CVE-2026-97229 | 10,0 | CI/CD-compiler voor reguliere expressies | Code-uitvoering zonder authenticatie, zonder gemelde aanvallen op 13 oktober |
Na het lek van september gaf CISA Amerikaanse federale instanties drie dagen om hun systemen te beveiligen. Sinds november 2021 heeft het vijf GitLab-lekken aangemerkt die bij aanvallen zijn misbruikt, een daarvan door ransomwarebendes. Op 13 oktober waren er geen aanvallen op het nieuwe lek gemeld, maar het tempo van september is waarop u moet plannen.
Waarom een pipelineserver het aanvallen waard is
Een CI/CD-server staat tussen broncode en productie, en daarom is code-uitvoering erop voor een aanvaller meer waard dan op de meeste bedrijfsservers.
Hij bewaart doorgaans de geheimen die pipelines nodig hebben om te bouwen, testen en uitrollen, zoals toegangstokens en deploy-sleutels, en kan veranderen wat bij klanten terechtkomt. GitLab zegt meer dan 30 miljoen geregistreerde gebruikers te hebben en dat meer dan 50 procent van de Fortune 100 het gebruikt. Zelf hosten ruilt gemak voor controle over waar uw code en data staan, en legt de patchplicht bij u. Dat kan een bewuste keuze zijn voor teams met eisen aan dataresidentie, en het is ook de reden waarom de patchdag van de leverancier uw deadline wordt.
Een plan van 72 uur voor zelfbeheerde teams
Behandel dit als een klus van 72 uur voor elke vanaf internet bereikbare instantie en begin met de versiecontrole.
Lees eerst uw geïnstalleerde versie af en vergelijk die met 19.2.8, 19.3.5 en 19.4.2, bevestig daarna de exacte buildnummers in GitLabs eigen advies. Plan ten tweede de upgrade binnen 72 uur in, te beginnen met elke vanaf internet bereikbare instantie. Beperk ten derde, tot het gedaan is, wie bij de server kan en wie CI/CD-configuratiebestanden mag bewerken.
Roteer ten vierde, als u blootstelling niet kunt uitsluiten, de geheimen die als pipelinevariabelen zijn opgeslagen zodra de patch is ingespeeld. Abonneer u ten vijfde op GitLabs beveiligingsadviezen zodat de volgende dezelfde dag bij een mens aankomt. De 72 uur is ons voorgestelde venster en geen deadline van GitLab.
Lees hierna: Twee regels laten zien of de NetScaler-bug u raakt | GitLabs slechtst beoordeelde lek heeft aan één openbaar project genoeg
