GitLab: Ganzzahlüberlauf im Regex-Compiler ermöglicht Remote Code Execution

Zusammenfassung

GitLab Community Edition und Enterprise Edition sind in allen Versionen ab 7.0 bis zu den unten genannten korrigierten Releases betroffen. Unter bestimmten Bedingungen könnte ein nicht authentifizierter Angreifer aus der Ferne beliebigen Code auf dem GitLab-Server ausführen, indem er einen speziell gestalteten regulären Ausdruck sendet, der einen Ganzzahlüberlauf auslöst. Der Hersteller stuft die Schwachstelle mit CVSS 10.0 (kritisch) ein, GitLab.com und GitLab Dedicated sind bereits gepatcht.

Betroffen

• GitLab CE/EE 7.0 vor 18.11.13
• GitLab CE/EE 19.0 vor 19.0.10
• GitLab CE/EE 19.1 vor 19.1.9
• GitLab CE/EE 19.2 vor 19.2.9
• GitLab CE/EE 19.3 vor 19.3.6
• GitLab CE/EE 19.4 vor 19.4.3
• GitLab CE/EE 19.5 vor 19.5.1
• Nur selbst betriebene Installationen; GitLab.com ist bereits gepatcht.

Behoben in

• 18.11.13
• 19.0.10
• 19.1.9
• 19.2.9
• 19.3.6
• 19.4.3
• 19.5.1
• Die Korrektur wurde für 18.11.13, 19.0.10, 19.1.9 und 19.2.9 nachportiert; andere Zweige erhielten sie in regulären Patch-Releases.

Umgehung

• Dem Hersteller ist kein Workaround bekannt. Die Advisory nennt nur das Einspielen des Patches.
• Übergangsmassnahme (keine Herstellerempfehlung): Netzwerkzugriff auf die GitLab-Instanz einschränken, bis der Patch eingespielt ist.

Ausnutzung

• Laut GitLab und CISA gab es am 22. Oktober 2026 keine Anzeichen für eine Ausnutzung dieser CVE.
• Den aktuellen CISA-KEV-Status dieser CVE konnte ich nicht verifizieren; bitte den KEV-Katalog erneut prüfen.
• CVE-2026-97229, eine andere Regex-Schwachstelle in GitLab, ist im CISA-KEV-Katalog aufgeführt. Sie ist nicht diese CVE und hat abweichende betroffene Versionen.
• Es wurde kein verifizierter öffentlicher Proof of Concept für diese CVE gefunden.
• Weitere Angriffsbedingungen neben dem nicht authentifizierten Netzwerkzugriff sind nicht öffentlich bekannt.

Unsere Empfehlung

• Selbst betriebenes GitLab so rasch wie möglich auf das korrigierte Release für Ihren Zweig aktualisieren.
• Bei einer Version älter als 18.11 dem Upgrade-Pfad von GitLab auf 18.11.13 oder neuer folgen.
• Auf frühere Patch-Daten nicht vertrauen; die installierte Version mit der obigen Liste abgleichen.
• Internet- und Partnerzugriff auf die GitLab-Instanz nach Möglichkeit einschränken.
• Logs auf die von GitLab veröffentlichten Erkennungsmuster prüfen (Onigmo native worker crash, Org mode render error burst).
• War die Instanz ungepatcht exponiert, auf Kompromittierung prüfen und auf dem Server gespeicherte CI/CD- und Deployment-Secrets rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (11 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  TahuCryptsi/gitlab-onigmo-check · TahuCryptsi/poc-gitlab-onigmo-cve-2026-110264 · al4n4n/CVE-2026-110264 · xaviware/go-gitlab-cve-2026-110264-scanner · bastet-ai/gitlab-firing-range

Quellen der Recherche

• GitLab Critical Patch Release 19.5.1 (vendor advisory) docs.gitlab.com
• GitLab issue 633633 gitlab.com
• HackerOne report 4093475 hackerone.com
• Beazley Security advisory BSL-A1235 labs.beazley.security
• Brandefense: CVE-2026-110264 what to do brandefense.io
• Astra: CVE-2026-110264 security advisory www.getastra.com
• Ruby regexp fixes for GitLab CVEs www.ruby-lang.org
• InfoWorld: GitLab critical patches www.infoworld.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:03.