GitLab schließt Path-Traversal-Lücke mit maximaler Schwere – bereits erste Sondierungen im Umlauf

GitLab hat dringende Sicherheitsupdates veröffentlicht, um zwei schwerwiegende Schwachstellen zu schließen, darunter eine Path-Traversal-Lücke mit maximaler Schwere, die als CVE-2026-85706 geführt wird. Das Unternehmen erklärte, die Schwachstelle könne nicht authentifizierten Angreifern das Auslesen beliebiger Dateien von verwundbaren selbstverwalteten Servern ermöglichen, wodurch potenziell Passwörter, Geheimnisse und andere sensible Daten offengelegt werden. Der Fix ist in den Versionen 19.3.2, 19.2.6 und 19.1 der GitLab Community Edition und Enterprise Edition verfügbar, und GitLab bittet alle selbstverwalteten Installationen, sofort zu aktualisieren.

Die Path-Traversal-Schwachstelle wurde von einem Sicherheitsforscher mit dem Pseudonym s3ntago entdeckt und über GitLabs HackerOne-Bug-Bounty-Programm gemeldet. Laut GitLab resultiert die Schwäche aus einer unsachgemäßen Pfadbeschränkung und fehlender Authentifizierungsdurchsetzung in der Repository-Commits-API. In der Praxis ermöglicht eine Path-Traversal-Lücke einem Angreifer, einen Dateipfad so zu manipulieren, dass die Anwendung eine Datei außerhalb des eigentlich zulässigen Verzeichnisses liest. Da die betroffene API keinen angemeldeten Benutzer erfordert, kann ein nicht authentifizierter Angreifer eine manipulierte Anfrage senden und unter bestimmten Bedingungen beliebige Daten wie Anmeldeinformationen und andere Geheimnisse vom Server auslesen.

Einen Tag nach Veröffentlichung des Patches meldete das Sicherheitsunternehmen watchTowr, dass es bereits Angreifer beobachtet habe, die das Internet nach GitLab-Servern durchsuchen, die noch für CVE-2026-85706 anfällig sind. watchTowr erklärte, sein Intelligence-Team beobachte In-the-Wild-Sondierungen für die Schwachstelle und Angreifer könnten mit einer einzigen HTTP-Anfrage beliebige Dateien auslesen. Das Unternehmen warnte, dass basierend auf jüngsten GitLab-Schwachstellen eine unterschiedslose Ausnutzung wahrscheinlich nicht weit entfernt sei. Verteidiger sollten außerdem Protokolldateien nach HTTP-POST-Anfragen an URIs mit /api/v4/projects/{id}/repository/commits/ und file.path-Parametern durchsuchen, da dieses Muster auf einen Ausnutzungsversuch hindeuten könnte.

GitLab hat am selben Tag auch eine zweite kritische Schwachstelle behoben, die als CVE-2026-87719 geführt wird. Dabei handelt es sich um eine unsichere Deserialisierungsschwäche im GraphQL-Subscription-Serializer, die nur die GitLab Enterprise Edition betrifft. Unsichere Deserialisierung kann auftreten, wenn ein Programm gespeicherte Daten wieder in nutzbare Objekte umwandelt; ist der Prozess nicht ordnungsgemäß abgesichert, kann ein Angreifer schädliche Daten einschleusen, die ausgeführt werden. GitLab erklärte, ein authentifizierter Benutzer mit Duo-Chat-Zugriff könne CVE-2026-87719 ausnutzen, um sensible Anmeldeinformationen und Advanced-Search-Instanzkonfigurationen zu stehlen. Beide Schwachstellen wurden in denselben Releases behoben, und GitLab betonte, dass GitLab.com bereits die gepatchte Version ausführt, während GitLab-Dedicated-Kunden keine Maßnahmen ergreifen müssen.

Dies ist nicht das erste Mal, dass GitLab mit einer Path-Traversal-Schwachstelle zu tun hat. Im Mai 2023 patchte das Unternehmen eine weitere Path-Traversal-Lücke mit maximaler Schwere, CVE-2023-2825, die proprietären Quellcode, Benutzeranmeldeinformationen, Tokens und Dateien auf nicht gepatchten Servern offenlegen konnte. Ein Jahr später drängten die U.S. Cybersecurity and Infrastructure Security Agency (CISA) und das FBI Softwarehersteller dazu, Path-Traversal-Schwächen vor dem Versand aus Produkten zu entfernen, und nannten diese Fehlerklasse seit mindestens 2007 unverzeihlich. Im Januar behob GitLab außerdem eine hochgradige Umgehung der Zwei-Faktor-Authentifizierung, die es Angreifern, die die Konto-ID eines Benutzers kannten, ermöglichte, die Zwei-Faktor-Authentifizierung zu umgehen. Seit November 2021 hat die CISA vier GitLab-Schwachstellen als in Angriffen ausgenutzt gekennzeichnet, darunter CVE-2021-22175 und CVE-2021-39935 im Februar dieses Jahres.

Die GitLab DevSecOps-Plattform hat mehr als 30 Millionen registrierte Benutzer und wird von über der Hälfte der Fortune-100-Unternehmen genutzt, darunter Nvidia, Airbus, T-Mobile, Lockheed Martin, Goldman Sachs und UBS. Für Teams, die selbstverwaltetes GitLab oder andere geschäftskritische Webanwendungen betreiben, ist es unerlässlich, bei Sicherheitspatches auf dem Laufenden zu bleiben. AEU-I, unser sicherheitsorientierter IT-, Infrastruktur- und Beratungsservice, kann Organisationen bei der Planung des Schwachstellenmanagements und der Überwachung auf Anzeichen bösartigen Datenverkehrs unterstützen. Da die neuesten Fixes bereits aktiv sondiert werden, ist ihre unverzügliche Installation der wichtigste Schritt.