GitLab CE/EE: Integer-Überlauf ermöglicht Codeausführung ohne Authentifizierung (CVE-2026-97229)

Was passiert ist

CVE-2026-97229 ist ein Integer-Überlauf oder Wraparound (CWE-190) in GitLab CE/EE. Die Schwachstelle liegt darin, wie GitLab reguläre Ausdrücke validiert, die über die CI/CD-Konfiguration übermittelt werden. Unter bestimmten Bedingungen kann ein nicht authentifizierter Angreifer einen speziell gestalteten regulären Ausdruck übermitteln, der den Integer-Überlauf auslöst, und dadurch beliebigen Code auf dem GitLab-Server ausführen.

Der CVSS-3.1-Vektor ist netzwerkbasiert mit geringer Angriffskomplexität, erfordert keine Berechtigungen und keine Benutzerinteraktion und hat hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit bei geändertem Scope. CISA KEV, CISA SSVC und ENISA EUVD stufen die Ausnutzung als aktiv ein. CISA hat den Eintrag am 29. Oktober 2026 in den Known Exploited Vulnerabilities Catalog aufgenommen, und ENISA verzeichnet Ausnutzung seit dem 29. Oktober 2026.

Wer betroffen ist

Betroffen sind GitLab CE/EE in den Versionen 19.2 bis vor 19.2.8, 19.3 bis vor 19.3.5 und 19.4 bis vor 19.4.2. Dabei handelt es sich um selbstverwaltete Bereitstellungen für Quellcodeverwaltung und CI/CD. Instanzen, die aus nicht vertrauenswürdigen Netzen erreichbar sind, sind diesem nicht authentifizierten Angriff am stärksten ausgesetzt.

Was jetzt zu tun ist

1. Spielen Sie die korrigierte Version für den von Ihnen installierten Versionszweig sofort ein: GitLab 19.2.8 für 19.2, GitLab 19.3.5 für 19.3 und GitLab 19.4.2 für 19.4. Da aktive Ausnutzung dokumentiert ist, hat dies Priorität.
2. Wenn die Sicherheitsupdates nicht sofort eingespielt werden können, beschränken Sie den Netzzugriff auf den GitLab-Server so, dass nicht vertrauenswürdige Netze ihn nicht erreichen können, und prüfen Sie eingereichte CI/CD-Konfigurationen auf unerwartete oder ungewöhnlich komplexe reguläre Ausdrücke.
3. Prüfen Sie den GitLab-Server auf Prozesse, die dort nicht vorhanden sein sollten, und überprüfen Sie die Zugriffsprotokolle auf unerwartete Anfragen.

GitLab hat keinen separaten Workaround veröffentlicht.

Wie man es erkennt

Der Hersteller führt keine Indikatoren für eine Kompromittierung auf. Da der Server ohne Authentifizierung über das Netz erreichbar ist und aktive Ausnutzung verzeichnet wird, konzentrieren Sie sich auf den GitLab-Server selbst: auf unerwartete Prozessausführungen und auf CI/CD-Konfigurationen, die reguläre Ausdrücke enthalten, die nicht von Ihren Teams stammen. Überprüfen Sie aus dem Internet erreichbare GitLab-Zugriffe auf ungewöhnliche Anfragen.

Über den Patch hinaus

Eine Schwachstelle, die ohne Authentifizierung über das Netz Codeausführung in einer Quellcodeverwaltungs- und CI/CD-Plattform ermöglicht, ist ein ernstes Problem der Gefährdungslage, und sowohl CISA als auch ENISA verzeichnen aktive Ausnutzung. Organisationen, die GitLab aus dem Internet erreichbar betreiben, sollten diese Gefährdung mithilfe von Virtual CISO Services (vCISO) erfassen und schließen. Für die Erkennung einer möglichen Ausnutzung und die Reaktion darauf ist Managed Detection & Response (MDR) der richtige Service. Wenn Sie einen Vorfall vermuten, richten Sie den Retainer für Incident Response ein, bevor Sie ihn benötigen.