GitLab CE/EE: Remote Code Execution über regulären Ausdruck in CI/CD

Zusammenfassung

Selbst verwaltete GitLab-Instanzen von CE/EE enthalten einen Integer Overflow im Regular-Expression-Compiler für CI/CD (CWE-190), erfasst als CVE-2026-97229 mit einem CVSS-Wert von 10.0. Unter bestimmten Bedingungen kann ein nicht authentifizierter Angreifer einen speziell präparierten regulären Ausdruck in einer CI/CD-Konfiguration einreichen und beliebigen Code auf dem GitLab-Server ausführen. CISA hat die Schwachstelle in den Katalog der bekannt ausgenutzten Schwachstellen (KEV) aufgenommen, und GitLab.com sowie GitLab Dedicated waren durch den Hersteller bereits gepatcht.

Betroffen

• GitLab CE/EE 19.2 vor 19.2.8
• GitLab CE/EE 19.3 vor 19.3.5
• GitLab CE/EE 19.4 vor 19.4.2

Behoben in

• GitLab CE/EE 19.2.8
• GitLab CE/EE 19.3.5 (nicht 19.3.4, das einen Fehler auf Merge-Request-Seiten bei aktivierter Ona-Integration aufweist)
• GitLab CE/EE 19.4.2

Verwenden Sie das neueste Patch-Release Ihres Zweigs. Spätere Releases werden nur von Sekundärquellen gemeldet und müssen auf docs.gitlab.com verifiziert werden.

Umgehung

Vom Hersteller ist keine Workaround dokumentiert. Als Zwischenmassnahmen schlägt ein Drittanbieter vor: den Netzwerkzugriff auf die GitLab-Weboberfläche auf vertrauenswürdige Netze oder ein VPN beschränken sowie öffentliche Projekterstellung und anonymen Zugriff auf CI/CD-Endpunkte, soweit möglich, deaktivieren. Diese Massnahmen sind vom Hersteller nicht verifiziert.

Ausnutzung

• Aktiv ausgenutzt: CISA hat CVE-2026-97229 am 29. Oktober 2026 in den KEV-Katalog aufgenommen, mit einer Frist zur Behebung bis 1. November 2026.
• Ein Angriffsversuch soll sich gegen die GitLab-Instanz von Alpine Linux mit präparierten CI-Konfigurationen gerichtet haben, was wiederholt zum Absturz von Worker-Prozessen führte.
• Rapid7 soll die Ausführung von Code auf einem ungepatchten GitLab-CE-Image 19.4.1 reproduziert haben, während das gepatchte Image 19.4.2 auf dieselbe Eingabe nicht reagierte.
• Es ist keine Authentifizierung erforderlich. Der Alpine-Fall soll ein neu registriertes Konto betroffen haben.

Unsere Empfehlung

• Erfassen Sie alle selbst verwalteten GitLab-Instanzen und deren Versionen.
• Aktualisieren Sie auf das neueste Patch-Release Ihres Zweigs, mindestens 19.2.8, 19.3.5 oder 19.4.2, und prüfen Sie die Angaben im Sicherheitshinweis des Herstellers, bevor Sie das Ticket schliessen.
• Prüfen Sie, ob das mit Ihrer GitLab-Installation ausgelieferte Ruby gepatcht ist, da CISA darauf hinweist, dass auch andere Produkte von der zugrunde liegenden Onigmo-Schwachstelle betroffen sein können.
• Ist eine Instanz exponiert, beschränken Sie den Zugriff und prüfen Sie die Logs auf ungewöhnliche Einreichungen von CI-Konfigurationen und abstürzende Worker-Prozesse.
• Besteht der Verdacht auf eine Kompromittierung, rotieren Sie CI/CD-Variablen und Runner-Token.
• Verwechseln Sie diese Schwachstelle nicht mit CVE-2026-110264, einer separaten Schwachstelle im regulären Ausdruck von GitLab, die durch dieses Update nicht behoben wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (6 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  AmpedWasTaken/CVE-2026-97229-GitLab-CI-CD-Regex-Compiler-RCE · jburgess-r7/CVE-2026-97229-PoC · gandli/cve-2026-97229-lab · Noshadi-sec/CVE-2026-97229 · murat-levi/gitlab-rce-toolkit
• Metasploit-Modul exploit/multi/http/gitlab_cicd_regexp_rce_cve_2026_97229

Quellen der Recherche

• GitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8 docs.gitlab.com
• CISA Known Exploited Vulnerabilities Catalog: CVE-2026-97229 www.cisa.gov
• GitLab work item 630686 gitlab.com
• Help Net Security: GitLab CI/CD regular expression compiler vulnerability www.helpnetsecurity.com
• The Hacker News: Attacker tried to exploit Alpine Linux's GitLab thehackernews.com
• PBX Science: CISA adds GitLab CVSS 10.0 flaw to exploited list pbxscience.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:21.