GitLab sluit kritische beveiligingslek voor het wissen van projecten

Op 17 augustus publiceerde GitLab een belangrijke patch voor meerdere versies om twee ontdekte kwetsbaarheden te verhelpen. Deze patch betreft de versies 19.2.4, 19.1.6, 19.0.8 en 18.11.11 en sluit specifiek de kritisch beoordeelde kwetsbaarheid met de identificatie CVE-2026-19478 in.

De kwetsbaarheid heeft een CVSS-score van 9.4 gekregen en stelde ongeauthenticeerde aanvallers in staat om openbare projecten en gebruikersinformatie te wijzigen of te verwijderen, zonder dat een GitLab-gebruikersaccount nodig was. Dit betekent dat dergelijke aanvallen potentieel konden worden uitgevoerd op onvoldoende beveiligde GitLab-instanties op internet.

Volgens berichten was de kwetsbaarheid te vinden in de GraphQL API van het platform, wat aanvallers directe toegang tot gegevens en structuren van de GitLab-omgevingen gaf. De ontwikkelaars van GitLab hebben in hun mededelingen benadrukt dat de bescherming van projecten en gebruikersgegevens de hoogste prioriteit heeft en dat ze blijven werken aan het verbeteren van de beveiliging van het platform.

In de Russische internetomgeving zijn er meer dan 9.300 openbare GitLab-diensten, van welke enkele mogelijk door deze kwetsbaarheid zijn getroffen. Het voorval heeft ook in beveiligingskringen aandacht getrokken en de noodzaak benadrukt om bestaande systemen tijdig bij te werken om dergelijke aanvalsmogelijkheden te minimaliseren.

De maatregelen van GitLab zijn gericht op het waarborgen van de bescherming van gebruikers en de integriteit van de gehoste projecten op het platform, vooral gezien de potentiële gevaren die uit dergelijke kwetsbaarheden voortkomen.