LONDON / LONDON (IT BOLTWISE) – GitLab hat Sicherheits-Patches für eine Schwachstelle mit CVSS 10.0 veröffentlicht, die unter bestimmten Bedingungen zu willkürlicher Codeausführung auf dem GitLab-Server führen konnte. Betroffen sind GitLab Community Edition (CE) und Enterprise Edition (EE) in konkreten Versionen rund um 19.2, 19.3 und 19.4. Die Korrektur adressiert nach Herstellerangaben unter anderem eine unzureichende Validierung von regulären Ausdrücken in CI/CD-Konfigurationen. Zusätzlich schließt GitLab mehrere hochkritische Lücken nach, darunter eine XSS-Schwachstelle und Authentifizierungs-/Berechtigungsprobleme in Pipelines.
Mit dem aktuellen Security-Update verschärft GitLab die Absicherung in seinem CI/CD-Ökosystem: In der Community Edition (CE) und Enterprise Edition (EE) schließt der Anbieter eine Lücke, die mit CVSS 10.0 bewertet ist und in seltenen Konstellationen zu arbiträrer Codeausführung (RCE) auf dem GitLab-Server führen konnte. Die Schwachstelle ist unter CVE-2026-97229 erfasst und wird als integer overflow beschrieben. Entscheidend ist dabei weniger die Klassifizierung allein, sondern der konkrete Angriffsweg: Laut GitLab gelang die potenzielle Ausführung über eine spezielle reguläre Ausdrucks-Logik in einer CI/CD-Konfiguration, wobei eine unzureichende Prüfung des regulären Ausdrucks die Tür geöffnet haben soll.
Für Administratoren heißt das vor allem: Versionen müssen zeitnah innerhalb der von GitLab genannten Fenster aktualisiert werden. Betroffen sind „alle Versionen ab 19.2 bis vor 19.2.8“, „alle Versionen ab 19.3 bis vor 19.3.5“ sowie „alle Versionen ab 19.4 bis vor 19.4.2“. Entsprechend empfiehlt GitLab Patches in den Fix-Versionen 19.4.2, 19.3.5 und 19.2.8. Technisch lässt sich daraus ableiten, dass die Sicherheitsprüfung nicht nur Feature-funktional, sondern auch input-sicherheitsseitig an den Stellen verstärkt werden musste, an denen CI/CD-Definitionen interpretiert werden. Gerade reguläre Ausdrücke sind häufig mächtig, aber auch ein Klassiker für Validierungsfehler, wenn Validierungslogik nicht konsistent mit der späteren Auswertungsschicht ist.
Das Patch-Release adressiert aber nicht bei einem einzigen Makel. GitLab nennt zusätzlich drei weitere hochkritische Schwachstellen: CVE-2026-92883 (CVSS 8.7) betrifft eine Cross-Site Scripting (XSS)-Lücke, bei der ein authentifizierter Nutzer per präparierter Repository-Konfiguration beliebiges JavaScript im Kontext anderer Browser-Sitzungen ausführen konnte. Ergänzend steht CVE-2026-16301 (CVSS 8.5) für eine unzureichende Autorisierung im „downstream pipeline creation“-Dienst; hier soll ein authentifizierter Angreifer mit Developer-Rolle Pipelines auf geschützten Branches auslösen können. Die dritte genannte Lücke, CVE-2026-14814 (CVSS 8.2), beschreibt ein Szenario, in dem eine zu permissive reguläre Ausdrucks-Logik dazu beitragen kann, zwischengespeicherte Antworten zu „vergiften“ – mit dem Effekt, dass gezielte Nutzer spätere CI/CD-Ausführungen mit manipuliertem Inhalt starten und so potenziell geschützte Variablen preisgeben.
In der Gesamtschau ist das Update auch eine Reaktion auf eine bemerkenswerte Häufung von kritischen Befunden in kurzer Zeit. GitLab verweist darauf, dass das Unternehmen wenige Wochen zuvor bereits eine maximale Schwachstelle im Bereich „AI Gateway“ geschlossen hat (CVE-2026-90970, CVSS 9.9). Damals ging es nach Herstellerangaben darum, dass ein authentifizierter Nutzer mit passendem Zugriff die Sandbox des Prompt-Templates durchbrechen und anschließend beliebige Command Execution auf dem Gateway erreichen konnte. Zudem nennt GitLab einen weiteren CVSS-10.0-Fall aus dem letzten Monat (CVE-2026-85706), der bereits innerhalb von Stunden nach Veröffentlichung in der Praxis angefragt worden sein soll. Für Sicherheitsverantwortliche in Unternehmen ist diese Chronologie ein klarer Hinweis darauf, dass die Angriffsfläche nicht nur aus „klassischen“ Webfehlern besteht, sondern auch aus Integrations- und Ausführungslogik rund um Automatisierung, Transpiler-ähnliche Konfigurationen und Tooling-Pipelines.
Die industrielle Relevanz liegt dabei weniger im einzelnen CVE als im Muster: GitLab koppelt in vielen Installationen Entwicklung, Build, Deployment und Policy-Steuerung eng aneinander. Sobald eine Lücke in der Interpretation von CI/CD-Konfigurationen oder in der Pipeline-Erzeugung greift, können Angreifer indirekt von „scheinbar harmlosen“ Konfigurationsdaten zu hochprivilegierten Ausführungswegen gelangen. Genau deshalb sind Updates in solchen Systemen nicht mit dem rein kosmetischen Risiko eines Feature-Bugs vergleichbar. Selbst eine Schwachstelle, die „nur unter bestimmten Bedingungen“ greift, kann im Betrieb durch Datenvielfalt, Template-Nutzung oder uneinheitliche Validierungsstände dennoch zu einem realistischen Risiko werden.
Für die nächsten Schritte im Betrieb empfiehlt sich deshalb ein zweistufiger Ansatz: Erstens, das Update auf eine der Fix-Versionen (19.4.2, 19.3.5 oder 19.2.8) so bald wie möglich durchführen und dabei Rollout-Zeitfenster so legen, dass auch Runner- und Pipeline-Definitionen parallel aktualitätsfähig bleiben. Zweitens, die betroffenen Konfigurationsbereiche gezielt prüfen: CI/CD-Templates, Regex-getriebene Validierungen und Mechanismen zur Pipeline-Erstellung für nachgelagerte Stufen (downstream). Gerade wenn RegEx-Ausdrücke in Workflows oder Validierungsregeln vorkommen, lohnt es sich, die Konfigurationsquellen zu inventoryen und auf Stellen zu achten, die aktuell auf „konfliktfreie“ Eingaben setzen. In Summe zeigt das Release, wie wichtig es ist, Sicherheit als Eigenschaft der gesamten Werkzeugkette zu behandeln – nicht als nachgelagertes Add-on.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GitLab behebt CVE-2026-97229 mit CVSS 10.0 und stoppt RCE über CI/CD-RegEx" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GitLab behebt CVE-2026-97229 mit CVSS 10.0 und stoppt RCE über CI/CD-RegEx" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GitLab behebt CVE-2026-97229 mit CVSS 10.0 und stoppt RCE über CI/CD-RegEx« bei Google Deutschland suchen, bei Bing oder Google News!