Zugriff auf Serverdateien Aktiv ausgenutzte GitLab-Sicherheits­lücke gibt Dateien preis

Anbieter zum Thema

FTAPI Software GmbH

Eine kritische Schwachstelle in GitLab CE und EE erlaubt nicht angemelde­ten Angreifern unter bestimmten Bedingungen, beliebige Dateien vom GitLab-Server zu lesen. Die CISA führt die Schwachstelle bereits als aktiv ausgenutzt.

Die US-Cybersicherheitsbehörde CISA hat EUVD-2026-76779 / CVE-2026-85706 (CVSS-Score 10.0, EPSS-Score^* 1.16) am 11. September 2026 in ihren Katalog bekannter aktiv ausgenutzter Schwachstellen aufgenommen. GitLab hat den Fehler inzwischen behoben.

Sowohl die Enterprise Edition (EE) wie auch die quelloffene Community Edition (CE) von GitLab sind von der Sicherheitslücke betroffen. Beide Varianten der Plattform dienen der Verwaltung von Quellcode, Softwareprojekten und DevOps-Prozessen. Unternehmen nutzen sie unter anderem für Code-Repositories, CI/CD-Pipelines, Tickets und die Zusammenarbeit in Entwicklungsprojekten.

ADC und Gateway betroffen

BSI meldet aktive Angriffe auf NetScaler-Schwachstelle

Unauthentifizierter Dateizugriff über Commits-API

EUVD-2026-76779 / CVE-2026-85706 betrifft die Repository-Commits-API von GitLab. Die Schnittstelle gehört zum regulären Funktionsumfang von GitLab CE und EE und dient der Abfrage von Änderungen in Code-Repositories. Unter bestimmten Bedingungen kann ein nicht angemeldeter Angreifer darüber beliebige Dateien vom GitLab-Server lesen.

GitLab führt die Schwachstelle als Path-Traversal-Fehler. Ursache ist eine Kombination aus unzureichender Begrenzung von Dateipfaden und fehlender Durchsetzung der Authentifizierung in der Repository-Commits-API. Ein Angreifer kann dadurch die vorgesehenen Zugriffsbeschränkungen umgehen und auf Dateien außerhalb des eigentlich erlaubten Pfads zugreifen.

Die Quelle nennt keine bestimmte Bereitstellungsform als Ausnahme. Laut GitLab gelten die Sicherheitslücken damit für alle Installationsarten der betroffenen Versionen. Die Schwachstelle steckt nicht in einem optionalen Plugin oder Zusatzmodul, sondern in einer integrierten Standardschnittstelle. GitLab veröffentlicht allerdings nicht, welche weiteren Bedingungen für einen erfolgreichen Angriff konkret erfüllt sein müssen.

Die Schwachstelle ermöglicht das Lesen beliebiger Dateien, nicht aber eine dokumentierte direkte Codeausführung oder das Schreiben von Dateien. Dennoch erreicht sie den höchstmöglichen CVSS-Score von 10.0. Eine Ausnutzung ist über das Netzwerk mit niedriger Angriffskomplexität möglicht. Weder Zugangsdaten noch Nutzerinteraktion sind dabei erforderlich. Der Schweregrad ergibt sich damit insbesondere aus dem unauthentifizierten Zugriff auf potenziell sensible Serverdateien. Solche Informationen können etwa für weitere Angriffe gegen eine GitLab-Instanz oder ihre angebundenen Entwicklungsumgebungen relevant sein.

End-to-End-KI

Gitlab stellt neue Entwicklungssuite Duo vor

Mehrere Versionszweige betroffen

Anfällig sind GitLab-CE- und GitLab-EE-Versionen ab 18.7 bis vor 19.1.8, die Versionen 19.2.0 bis vor 19.2.6 sowie die Versionen 19.3.0 bis vor 19.3.2. GitLab hat die Sicherheitslücke mit den kritischen Patch-Releases 19.1.8, 19.2.6 und 19.3.2 geschlossen.

Selbst verwaltete Instanzen sollten unverzüglich auf die jeweils korrigierte oder eine neuere Version aktualisieren. GitLab.com läuft nach Herstellerangaben bereits mit einer gepatchten Version, auch GitLab-Dedicated-Kunden müssen keine eigenen Maßnahmen ergreifen.

Die GitLab-Release-Notes weisen darauf hin, dass das Update Datenbankmigrationen enthält. Bei Single-Node-Installationen führt das Upgrade laut Hersteller zu einer Unterbrechung, weil die Migration abgeschlossen sein muss, bevor die Plattform wieder startet. Mehrknoten-Installationen können den Patch bei Nutzung der vorgesehenen Zero-Downtime-Upgrade-Verfahren ohne Unterbrechung einspielen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Bug-Bounty-Programm

Vercel will seine KI-Sandbox hacken lassen

(ID:50952862)