Een lek in GitLab kan aanvallers code laten uitvoeren op de server. Het kreeg de maximale ernstscore van 10. Wie GitLab zelf beheert, moet bijwerken naar 19.4.2, 19.3.5 of 19.2.8.
Wat is er aan de hand?
GitLab is een veelgebruikt platform waarop softwareteams hun code beheren en automatisch laten bouwen en testen. Veel organisaties draaien het op hun eigen server. In een beveiligingsupdate van 12 oktober heeft GitLab 24 kwetsbaarheden verholpen. Eén daarvan, CVE-2026-97229, kreeg de maximale ernstscore van 10.
Via een speciaal opgestelde instructie in de bouwconfiguratie (CI/CD) van een project kon een aanvaller eigen code laten uitvoeren op de GitLab-server. Volgens GitLab kan dat zelfs zonder ingelogd te zijn.
Hoe erg is dit?
Wie de GitLab-server overneemt, kan bij alle broncode en bij de wachtwoorden en sleutels die in de bouwstraat zijn opgeslagen, zoals toegang tot cloudomgevingen en productieservers. Daarmee kan een aanvaller veel verder komen dan alleen GitLab.
Wel een nuance: beveiligingsbedrijf Rapid7 bouwde de aanval na en ontdekte dat een aanvaller in de praktijk eerst een bestand in een openbaar project moet kunnen plaatsen. Op servers waar iedereen zelf een account kan aanmaken en projecten kan maken, is dat makkelijk. Op servers met alleen eigen medewerkers is de drempel hoger. Misbruik in het wild is niet gemeld, maar ook niet uit te sluiten.
Wat moet je doen?
- Gebruik je GitLab.com of GitLab Dedicated? Dan hoef je niets te doen. Die zijn al bijgewerkt.
- Beheer je GitLab zelf? Werk bij naar 19.4.2, 19.3.5 of 19.2.8. Gebruik voor de 19.3-lijn 19.3.5, want 19.3.4 had een fout op merge request-pagina's. Kan dat niet direct, zet dan registratie door buitenstaanders en openbare projecten tijdelijk uit.
- Daarna: vervang wachtwoorden, tokens en sleutels die in de CI/CD-instellingen staan als je niet zeker weet of de server vóór de update veilig was. GitLab heeft detectieregels gepubliceerd om pogingen tot misbruik op te sporen.
- Laat je GitLab beheren door een leverancier? Vraag of de update van 12 oktober al is geïnstalleerd.
Bronnen: GitLab, Rapid7 via DEV Community, The Hacker News. Beeld: GitLab-logo, merk van GitLab Inc.
