GitLab behebt kritische Schwachstelle für Remote Code Execution, die alle Versionen seit 2014 betrifft

GitLab hat am 21. Oktober dringende Sicherheitsupdates herausgegeben, um eine kritische Schwachstelle zu beheben, die Angreifern die Ausführung von beliebigem Code auf selbst verwalteten Servern ohne Authentifizierung ermöglicht. Die als CVE-2026-110264 identifizierte Schwachstelle erreicht im Common Vulnerability Scoring System (CVSS) den Höchstwert von 10,0 und betrifft jede Softwareveröffentlichung seit Version 7.0, die im Jahr 2014 eingeführt wurde.

Dieses Patch ist auch für Administratoren dringend erforderlich, die das vorherige Sicherheitsupdate vom 12. Oktober installiert haben. Das frühere Fix deckte nur die Versionen 19.2 und neuer ab, sodass ältere Installationen weiterhin exponiert waren, während die neuen gepatchten Versionen nur ein Patch-Level über diesen aktuellen Releases liegen. Folglich bleiben viele Systeme, die als sicher galten, verwundbar, bis diese neueste Runde der Updates angewendet wird.

Was passiert ist

Die Schwachstelle geht auf einen Integer-Overflow in Onigmo zurück, der regulären Ausdrucks-Engine, die in Ruby integriert ist und von GitLab in seinen eigenen Distributionen gebündelt und gepatcht wird. Wenn der Compiler einen speziell präparierten regulären Ausdruck verarbeitet, kann dieser Overflow ausgelöst werden, was es einem nicht authentifizierten Benutzer ermöglichen könnte, Code auf dem Hostserver auszuführen. GitLab hat die spezifischen Bedingungen für die Ausnutzung der Schwachstelle nicht offengelegt, was bedeutet, dass sich Administratoren nicht auf Konfigurationsänderungen verlassen können, um das Risiko zu mindern.

GitLab hat das Problem behoben, indem gleichzeitig korrigierte Versionen über sieben verschiedene Release-Zweige hinweg veröffentlicht wurden. Dieser breite Umfang umfasst vier Versionen, die älter sind als GitLabs Standard-Support-Richtlinie, die normalerweise nur die aktuelle Veröffentlichung und die zwei vorangegangenen monatlichen Versionen abdeckt. Das Unternehmen erklärte, dass es diese außergewöhnliche Backporting-Anstrengung schweren Problemen vorbehalten habe und dabei die weitreichende Natur der zugrunde liegenden Engine-Schwäche anerkenne.

Während GitLab keine Hinweise darauf findet, dass diese spezifische Schwachstelle in freier Wildbahn ausgenutzt wurde, und sie noch nicht im US-CISA-Katalog der bekannten ausgenutzten Schwachstellen auftaucht, ist das Risikoprofil extrem. Derselbe Forscher, bekannt unter dem Handle joaxcar, hat im vergangenen Monat drei weitere Code-Ausführungsschwachstellen in derselben Regex-Engine gemeldet. Im Gegensatz zu diesen früheren Problemen, die auf neuere Versionen beschränkt waren oder authentifizierte Zugriffe erforderten, reicht diese Schwachstelle über mehr als ein Jahrzehnt Softwaregeschichte zurück und erfordert keinen Login.

Wichtige Details

• Schwachstellen-ID: CVE-2026-110264, bewertet mit 10,0 (Kritisch) auf der CVSS-Skala.
• Betroffene Versionen: Alle selbst verwalteten GitLab-Instanzen von Version 7.0 (2014) bis hin zu den neuesten Patches vor dem Fix.
• Ursache: Integer-Overflow im Onigmo-Regular-Expression-Compiler bei der Verarbeitung präparierter Ausdrücke.
• Angriffsvektor: Nicht authentifizierter Remote Code Execution; kein Login oder Benutzerinteraktion erforderlich.
• Verfügbarkeit des Fixes: Patches wurden für die Versionen 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 und 18.11.13 veröffentlicht.
• Erkennung: GitLab stellte zwei Erkennungsregeln im Sigma-Format bereit, „Onigmo native worker crash“ und „Org mode render error burst“, zur Überwachung der Anwendungsprotokolle.

Hintergrund

Reguläre Ausdrücke sind Muster, die verwendet werden, um Zeichenkombinationen in Strings zu finden. Sie sind in der Programmierung weit verbreitet für Datenvalidierung und Suchfunktionen. Die Engine, die diese Muster verarbeitet – in diesem Fall Onigmo – muss komplexe Eingaben effizient handhaben. Ein Integer-Overflow tritt auf, wenn eine Berechnung eine Zahl erzeugt, die größer ist als der dafür allozierte Speicherplatz, wodurch der Wert auf eine negative Zahl oder eine kleine positive Zahl „umklappt“. In Sicherheitskontexten kann dies Speicherstrukturen korrumpieren und Angreifern das Einschleusen und Ausführen von schädlichem Code ermöglichen.

GitLab bündelt seine eigene Version des Ruby-Interpreters und seiner zugehörigen Bibliotheken, einschließlich Onigmo. Da diese Engine in jeder GitLab-Version seit 7.0 eingebettet ist, ist die Schwachstelle in der gesamten installierten Basis selbst verwalteter Instanzen allgegenwärtig. Cloud-gehostete Nutzer auf GitLab.com sind nicht betroffen, da der Anbieter die zugrunde liegende Infrastruktur verwaltet und den Fix bereits bereitgestellt hat.

Warum es wichtig ist

Für Teams, die selbst gehostete GitLab-Instanzen betreiben, hebt dieser Vorfall die versteckten Risiken langfristiger Softwareabhängigkeiten hervor. Selbst wenn eine Organisation einen strengen Patching-Zeitplan für aktuelle Versionen pflegt, bedeutet die Tiefe dieser Schwachstelle, dass Legacy-Instanzen oder solche auf erweiterten Support-Pfaden kritisch exponiert sind. Die Tatsache, dass das Patch vom 12. Oktober ältere Versionen nicht abdeckte, schafft eine gefährliche Lücke, in der Administratoren glauben könnten, geschützt zu sein, obwohl sie es nicht sind.

Die betrieblichen Auswirkungen der Anwendung dieses Fixes sind nicht trivial. Upgrades auf die Versionen 19.4.3 und 19.3.6 beinhalten Änderungen am Datenbank-Schema, die Ausfallzeiten auf Single-Node-Servern erfordern. Für Hochverfügbarkeitsumgebungen erfordert dies sorgfältige Planung unter Verwendung von GitLabs Zero-Downtime-Upgrade-Verfahren für Multi-Node-Setups. Teams müssen die unmittelbare Sicherheitsbedrohung gegen mögliche Serviceunterbrechungen durch den Patching-Prozess abwägen.

Darüber hinaus bedeutet das Fehlen eines Workarounds, dass es keine Übergangslösung gibt. Administratoren können nicht einfach eine Funktion deaktivieren oder eine Einstellung anpassen, um den Angriffsvektor zu blockieren. Der einzige definitive Schutz ist das Upgrade auf eine der gepatchten Versionen. Dies setzt DevOps-Teams unter Druck, diese Wartungsaufgabe vor anderen Roadmap-Punkten zu priorisieren, was möglicherweise die Feature-Entwicklung oder andere Infrastrukturverbesserungen verzögert.

Was Sie tun können

• Identifizieren Sie Ihre aktuelle GitLab-Version und vergleichen Sie sie mit der Tabelle der gepatchten Versionen, um den erforderlichen Upgrade-Pfad zu bestimmen.
• Planen Sie sofort ein Wartungsfenster für Single-Node-Instanzen und berücksichtigen Sie potenzielle Ausfallzeiten aufgrund von Datenbank-Migrationen.
• Stellen Sie die bereitgestellten Sigma-Erkennungsregeln in Ihrem Log-Management-System bereit, um Ereignisse wie „Onigmo native worker crash“ oder „Org mode render error burst“ zu überwachen.
• Stellen Sie sicher, dass Multi-Node-Cluster für Zero-Downtime-Upgrades konfiguriert sind, bevor Sie den Patch-Prozess starten, um Serviceunterbrechungen zu vermeiden.
• Prüfen Sie die Zugriffsprotokolle vor dem Patching auf ungewöhnliche Aktivitäten, wobei zu beachten ist, dass eine Ausnutzung ohne die spezifischen Erkennungsregeln nur minimale Spuren hinterlassen kann.
• Kommunizieren Sie die Dringlichkeit an die Stakeholder und betonen Sie, dass dieses Fix eine Schwachstelle adressiert, die in allen Versionen seit 2014 vorhanden ist, nicht nur in aktuellen Releases.