GitLab schließt kritische Sicherheitslücke zur Löschung von Projekten

Am 17. August veröffentlichte GitLab einen wichtigen Patch für mehrere Versionen, um zwei entdeckte Schwachstellen zu schließen. Dieser Patch betrifft die Versionen 19.2.4, 19.1.6, 19.0.8 und 18.11.11 und schließt insbesondere die kritisch bewertete Schwachstelle mit der Kennung CVE-2026-19478 ein.

Die Schwachstelle erhielt eine CVSS-Bewertung von 9.4 und ermöglichte es nicht authentifizierten Angreifern, öffentlich zugängliche Projekte sowie Benutzerinformationen zu ändern oder zu löschen, ohne dass eine GitLab-Nutzerkonten erforderlich war. Das bedeutet, dass solche Angriffe potenziell auf unzureichend gesicherte GitLab-Instanzen im Internet durchgeführt werden konnten.

Laut Berichten war die Schwachstelle im GraphQL API der Plattform zu finden, was Angreifern den direkten Zugriff auf Daten und Strukturen der GitLab-Umgebungen ermöglichte. Die Entwickler von GitLab haben in ihren Mitteilungen betont, dass der Schutz der Projekte und Nutzerdaten oberste Priorität hat und sie weiterhin an der Verbesserung der Sicherheit der Plattform arbeiten werden.

In der russischen Internetlandschaft gibt es mehr als 9.300 öffentliche GitLab-Dienste, von denen einige möglicherweise von dieser Schwachstelle betroffen waren. Der Vorfall hat auch in Sicherheitskreisen für Aufmerksamkeit gesorgt und die Notwendigkeit hervorgehoben, bestehende Systeme zeitnah zu aktualisieren, um solche Angriffsmöglichkeiten zu minimieren.

Die Maßnahmen von GitLab zielen darauf ab, den Schutz der Nutzer sowie die Integrität der gehosteten Projekte in der Plattform zu gewährleisten, insbesondere angesichts der potenziellen Gefahren, die aus solchen Schwachstellen hervorgehen.