GitLab-lek in CI/CD-regex wordt nu actief misbruikt

Aanvallers misbruiken een kwetsbaarheid met de maximale CVSS-score in GitLab waarvoor begin deze maand een patch uitkwam. Het Amerikaanse CISA voegde CVE-2026-97229 op 29 oktober toe aan de Known Exploited Vulnerabilities-catalogus en gaf federale diensten tot zondag 1 november om bij te werken. Zelfbeheerde installaties lopen risico; GitLab.com en GitLab Dedicated zijn volgens GitLab al gepatcht.

Code uitvoeren zonder account

Volgens het advisory van GitLab gaat het om een integer overflow in de CI/CD Regular Expression Compiler, het onderdeel dat reguliere expressies in pipelineconfiguraties inleest en uitvoert. Een aanvaller zonder account kan daardoor onder bepaalde omstandigheden willekeurige code uitvoeren op de GitLab-server, via een speciaal vervaardigde reguliere expressie in een CI/CD-configuratie. De oorzaak is onvoldoende validatie van die expressie.

De CVSS-score is 10,0, met vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: over het netwerk, lage complexiteit, geen rechten en geen gebruikersinteractie nodig. Het lek is gemeld door de onderzoeker die onder de naam joaxcar werkt via het bugbountyprogramma van GitLab op HackerOne — dezelfde melder als bij de twee andere 10,0-lekken van deze maand.

Hoeveel servers bloot staan

BleepingComputer meldt dat Shadowserver bijna 2800 GitLab Community Edition-installaties ziet die direct aan het internet hangen. Hoeveel daarvan al bijgewerkt zijn, is niet bekend. CISA's opdracht volgt uit Binding Operational Directive 26-04 en geldt formeel alleen voor Amerikaanse federale diensten, maar de dienst roept ook private partijen op deze patch voorrang te geven.

Het is niet het eerste GitLab-lek dat dit jaar actief misbruikt wordt. CVE-2026-85706, een ander lek met score 10,0 in de commits-API, stond in september al in de KEV-catalogus. CISA heeft sinds november 2021 zes GitLab-kwetsbaarheden als misbruikt gemarkeerd.

Welke versies kwetsbaar zijn

Getroffen zijn GitLab CE en EE in alle versies vanaf 19.2 vóór 19.2.8, vanaf 19.3 vóór 19.3.5, en vanaf 19.4 vóór 19.4.2. De fix verscheen eerder deze maand in 19.2.8, 19.3.5 en 19.4.2.

Wat je nu kunt doen

• Controleer je versie via Help > Help in de webinterface of met gitlab-rake gitlab:env:info. Zit je onder 19.2.8, 19.3.5 of 19.4.2 in de betreffende reeks, dan is upgraden urgent.
• Heb je de patchronde van 22 oktober al gedraaid, dan zit je op 19.2.9, 19.3.6 of 19.4.3 of hoger. Die versies liggen boven de fix voor dit lek, dus daarmee ben je ook hiertegen beschermd. Wie oktober helemaal heeft overgeslagen, staat open voor drie lekken met score 10,0.
• Zoek in je logs naar misbruik. GitLab heeft zes threat detections gepubliceerd voor zelfbeheerde omgevingen: Onigmo native worker crash, Graphql cilint hostile regexp, ci regexp oversized non ascii path, ci regexp guard rejection, ci lint workhorse worker crash en ci lint scripted client error burst.
• Staat je GitLab aan het internet? Overweeg de instance achter een VPN of IP-filter te zetten zolang je nog niet gepatcht hebt. CI/CD-configuraties zijn in de aanvalsketen het instappunt.