GitLab dicht lek met score 10: code uitvoeren via een reguliere expressie

GitLab heeft maandag 12 oktober noodversies uitgebracht voor een lek in de eigen CI/CD-pipelines waarmee een aanvaller zonder account code kan uitvoeren op de server. Het lek, CVE-2026-97229, kreeg CVSS-score 10.0 — de hoogst mogelijke. Beheerders van een zelf gehoste GitLab moeten direct bijwerken.

Een reguliere expressie die te ver gaat

De fout zit in de CI/CD Regular Expression Compiler, het onderdeel dat de reguliere expressies in een .gitlab-ci.yml inleest, compileert en uitvoert. Volgens het advisory van GitLab gaat het om een integer overflow: de validatie van die expressies schiet tekort, waardoor een speciaal geprepareerde regex buiten zijn perken kan treden.

Het gevolg omschrijft GitLab zelf zo: onder bepaalde omstandigheden kon "een niet-geauthenticeerde gebruiker willekeurige code uitvoeren op de GitLab-server via een speciaal vervaardigde reguliere expressie in een CI/CD-configuratie". Dat niet-geauthenticeerde deel is wat de score naar 10.0 duwt. In de CVSS-vector (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) staat geen enkele rem: over het netwerk, weinig moeite, geen rechten nodig, geen klik van een gebruiker, en de schade loopt door buiten het aangevallen onderdeel.

Het lek is gemeld door een onderzoeker die onder de naam joaxcar werkt, via het bugbountyprogramma van GitLab op HackerOne.

Welke versies

Getroffen zijn GitLab Community Edition en Enterprise Edition in alle versies vanaf 19.2 tot 19.2.8, vanaf 19.3 tot 19.3.5 en vanaf 19.4 tot 19.4.2. De patches zitten in precies die drie versies: 19.2.8, 19.3.5 en 19.4.2.

Let op het kleine addertje in de 19.3-reeks. GitLab bracht eerst 19.3.4 uit, maar daar bleek een fout in te zitten die merge request-pagina's brak zodra de Ona-integratie aanstond. Wie op dat spoor zit, moet door naar 19.3.5.

GitLab.com draait al op een gepatchte versie en klanten van GitLab Dedicated hoeven niets te doen. Het advies geldt dus voor zelfbeheerde installaties — en dat is precies de categorie waar een GitLab-server vaak jarenlang ongemerkt meedraait.

Niet de enige fix

De patchronde bevat 24 beveiligingsfixes in totaal. Naast het kritieke lek zijn er vijf met het stempel high, waaronder cross-site scripting in de syntax highlighting, een ontbrekende autorisatiecontrole bij het aanmaken van downstream pipelines, en promptinjectie in het Duo Agent Platform. De rest is medium of low, grotendeels autorisatieproblemen in de GraphQL-API en de package registry.

De urgentie is niet theoretisch. BleepingComputer wijst erop dat het Amerikaanse CISA sinds november 2021 vijf GitLab-lekken heeft opgenomen in zijn lijst van kwetsbaarheden die daadwerkelijk worden misbruikt. Vorige maand ging dat nog om CVE-2026-85706, ook een lek met score 10.0, waarna federale instanties drie dagen kregen om te patchen.

GitLab zegt meer dan 30 miljoen geregistreerde gebruikers te hebben en noemt onder meer Nvidia, T-Mobile en Airbus als klant.