Dev / CodingNieuwsAI-generated

GitLab-lek met score 10 zit er al sinds versie 7.0

GitLab heeft woensdag 22 oktober patches uitgebracht voor CVE-2026-110264, een kwetsbaarheid met de maximale CVSS-score van 10,0 waarmee een aanvaller zonder account op afstand code kan uitvoeren op de GitLab-server. Het bijzondere zit in het bereik: volgens het advisory van GitLab zijn alle versies vanaf 7.0 getroffen. Tweakers merkt op dat de fout daarmee sinds 2014 in de code zit.

Tweede keer in tien dagen, zelfde onderzoeker

GitLab beschrijft het probleem als een integer overflow bij het compileren van een speciaal vervaardigde reguliere expressie, in de Regular Expression Compiler. Dat klinkt bekend: ruim een week eerder dichtte GitLab een vrijwel identiek lek met CVE-2026-97229, ook een 10,0, ook een integer overflow in een regex-compiler. Beide zijn gemeld door dezelfde onderzoeker, die onder de naam joaxcar werkt via het bugbountyprogramma van GitLab op HackerOne.

Het verschil zit in de plek. Het lek van 12 oktober zat in de CI/CD Regular Expression Compiler en liep via een .gitlab-ci.yml. Dit nieuwe lek zit in de regex-compiler zelf en reikt veel verder terug, tot 7.0. GitLab heeft de fix daarom ook teruggeport naar oudere reeksen die normaal geen beveiligingsupdates meer krijgen.

Welke versies je nodig hebt

Gepatcht zijn GitLab Community Edition en Enterprise Edition in de versies 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 en 19.5.1. De CVSS-vector is CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: over het netwerk, lage complexiteit, geen rechten en geen gebruikersinteractie nodig.

GitLab.com draait al op een gepatchte versie. Dedicated-omgevingen op 19.3.5-internal0 of 19.4.2-internal0 en later hebben de fix al en hoeven niets te doen. Het advies geldt dus voor zelfbeheerde installaties.

De patchronde bevat twaalf fixes in totaal. Twee daarvan verdienen aandacht naast de 10,0. CVE-2026-15723 (8,2) maakt het mogelijk een bestaand LDAP-account over te nemen zonder dat de eigenaar iets hoeft te doen, maar alleen wanneer OmniAuth SAML en LDAP auto-linking beide aanstaan. CVE-2026-112212 (7,5) laat een ongeauthenticeerde aanvaller onder omstandigheden het OAuth- of OIDC-discoverydocument in een gedeelde cache vergiftigen en inlogstromen naar een externe server omleiden.

NCSC: kans gemiddeld, schade groot

Het NCSC bracht donderdag een alert uit en beoordeelt de kans op misbruik als gemiddeld en de mogelijke schade als groot. Actief misbruik is op dit moment niet vastgesteld, schrijft de dienst, maar de risico's zijn groot.

Hoe groot de blootstelling is, is lastig te zeggen. BleepingComputer wijst op cijfers van Shadowserver, dat ruim 2.700 aan internet blootgestelde GitLab CE-instanties ziet, met de kanttekening dat daar honeypots en al gepatchte servers tussen kunnen zitten.

Wat je nu kunt doen

  • Controleer welke versie je draait en werk bij naar de dichtstbijzijnde gepatchte release in jouw reeks. Zit je op 18.11 of een oudere 19.x, dan is er een backport beschikbaar.
  • Draai je zelf geen GitLab maar wel GitLab.com of Dedicated, dan hoef je niets te doen.
  • GitLab heeft twee threat detections vrijgegeven waarmee beheerders van zelfbeheerde instanties op misbruikpogingen van CVE-2026-110264 kunnen zoeken: "Onigmo native worker crash" en "Org mode render error burst". Die staan in het advisory.
  • Gebruik je OmniAuth SAML samen met LDAP auto-linking, bekijk dan ook CVE-2026-15723 apart. Die combinatie is de voorwaarde voor misbruik.