GitLab: Pfadüberschreitung (Path Traversal) (CVE-2026-85706)

Was ist betroffen, was ist zu tun

GitLab hat ein Problem behoben, das alle Versionen von GitLab CE/EE vor 19.1.8 (ab 18.7), vor 19.2.6 (ab 19.2) und vor 19.3.2 (ab 19.3) betrifft. Unter bestimmten Bedingungen konnte ein nicht authentifizierter Benutzer aufgrund unzureichender Pfadbegrenzung und fehlender Authentifizierungserzwingung in der Repository-Commits-API beliebige Dateien vom GitLab-Server lesen.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie GitLab auf Version 18.11.12, GitLab auf Version 19.0.9, GitLab auf Version 19.1.8. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• GitLab lt 18.7..18.11.12
• GitLab lt 19.0..19.0.9
• GitLab lt 19.1..19.1.8
• GitLab lt 19.2..19.2.6
• GitLab lt 19.3..19.3.2

Behoben in

• GitLab 18.11.12
• GitLab 19.0.9
• GitLab 19.1.8
• GitLab 19.2.6
• GitLab 19.3.2

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Patch einspielen: Alle selbst betriebenen GitLab-CE/EE-Instanzen auf die korrigierte Version ihres Release-Zweigs aktualisieren: 18.11.12, 19.0.9, 19.1.8, 19.2.6 oder 19.3.2. Betroffen sind alle Versionen ab 18.7 unterhalb dieser Stände. Die CISA-Kurzbeschreibung nennt die Zweige 18.x und 19.0 nicht, NVD und Herstellerangaben dagegen schon. Diese Zweige daher ebenfalls patchen. GitLab.com (SaaS) wird vom Hersteller selbst aktualisiert.
   • Exposition sofort reduzieren: Ist der Patch nicht innerhalb von Stunden einspielbar, die Instanz vom Internet trennen oder den Zugriff am Reverse-Proxy oder an der Firewall auf VPN- und Unternehmens-IP-Bereiche beschränken (TCP 443/80).
   • Kompromittierungsbewertung starten: Die Logs /var/log/gitlab/nginx/gitlab_access.log und /var/log/gitlab/gitlab-rails/api_json.log rückwirkend auf Zugriffe auf /api/v4/projects/*/repository/commits prüfen. Relevant sind Anfragen mit Traversal-Sequenzen und ohne Authentifizierung (siehe Detektionsregeln). Betrachtungszeitraum: mindestens ab Einspielen einer betroffenen Version.
   • Geheimnisse als offengelegt behandeln: Bei Treffern oder Unklarheit sind alle per Dateilesezugriff erreichbaren Geheimnisse zu rotieren. Dazu gehören Inhalte aus /etc/gitlab/gitlab.rb (SMTP-, LDAP-, Objektspeicher-Zugangsdaten), Datenbankpasswörter, Runner-Registrierungstoken, SSH-Host-Schlüssel, Deploy-Keys sowie Integrations-Tokens in CI/CD-Variablen. Die Rotation von /etc/gitlab/gitlab-secrets.json (secret_key_base, db_key_base, otp_key_base) gemäß GitLab-Dokumentation planen. Ein Austausch von db_key_base ohne Migration macht verschlüsselte Daten unlesbar.
   • Sitzungen und Tokens invalidieren: Wurde secret_key_base möglicherweise gelesen, können Angreifer Sitzungen fälschen. In diesem Fall aktive Sitzungen beenden, Personal-, Project- und Group-Access-Tokens privilegierter Konten widerrufen und 2FA-Status prüfen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzwerksegmentierung: GitLab ausschließlich über VPN oder Zero-Trust-Proxy erreichbar machen. Den Admin- und API-Pfad /api/v4/ für Quell-IPs außerhalb definierter Bereiche sperren. Ausgehende Verbindungen des GitLab-Hosts auf notwendige Ziele (Paketquellen, Objektspeicher, SMTP) beschränken.
   • WAF/IPS-Regel: Anfragen an ^/api/v4/projects/[^/]+/repository/commits blockieren, wenn URI, Query-String oder Body Traversal-Muster enthalten: ../, ..%2f, %2e%2e, %252e%252e, ..%5c oder absolute Pfade wie /etc/ bzw. /var/opt/gitlab. Mehrfach-URL-Dekodierung im WAF aktivieren.
   • Reverse-Proxy-Härtung: Als Übergangslösung für /api/v4/projects/*/repository/commits nur noch Anfragen mit PRIVATE-TOKEN-Header, Authorization-Header oder gültigem Session-Cookie (_gitlab_session) zulassen. Vorher prüfen, ob öffentliche Projekte oder anonyme Clients diesen Endpunkt benötigen.
   • Konfiguration/Least Privilege: Die Standard-Sichtbarkeit neuer Projekte auf „privat“ setzen und unter „Restricted visibility levels“ die Option „Public“ sperren. So wird die Angriffsfläche für nicht authentifizierte API-Aufrufe reduziert. Dateirechte von /etc/gitlab/* restriktiv halten (root:root, 0600).
   • Geheimnisminimierung: Zugangsdaten aus gitlab.rb in einen externen Secret-Store auslagern, wo unterstützt. CI/CD-Variablen als „masked“ und „protected“ kennzeichnen, damit der Schaden eines Dateilesezugriffs begrenzt bleibt.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Web-Access-Log (nginx/WAF): Anfragen an den Commits-API-Pfad mit Traversal-Mustern erkennen. SPL: index=web uri_path="/api/v4/projects/*/repository/commits*" (uri="*..%2f*" OR uri="*%2e%2e*" OR uri="*../*" OR uri="*%252e*" OR uri="*/etc/*")
   • GitLab-Rails-API-Log: In api_json.log Einträge mit "route":"/api/:version/projects/:id/repository/commits", leerem user_id/username und Status 200 bei ungewöhnlich großem response_bytes oder auffälligen Parametern auswerten. Sigma-Form: logsource: product: gitlab; detection: route|contains: 'repository/commits' AND user_id: null AND params|contains: ['..', '%2e'].
   • Linux auditd: Lesezugriffe auf sensible Dateien außerhalb von Wartungsfenstern überwachen. Regel: -w /etc/gitlab/gitlab-secrets.json -p r -k gitlab_secrets sowie -w /etc/gitlab/gitlab.rb -p r -k gitlab_secrets. Alarm bei comm = puma/gitaly/ruby ohne zeitnahen Dienstneustart.
   • Folgeaktivität: Anmeldungen mit neu erzeugten oder gefälschten Sitzungen, Logins von unbekannten IPs auf Admin-Konten, Nutzung von Runner-Tokens von fremden Hosts sowie DB-Verbindungen zu PostgreSQL (TCP 5432) von unerwarteten Quellen erkennen. Datenquellen: production_json.log, auth.log, Zeek conn.log.
   • Netzwerk-Telemetrie (Zeek/Suricata): Hohe Rate von GET-Anfragen einer externen Quelle auf /api/v4/projects/<id>/repository/commits mit wechselnden Parametern deutet auf automatisiertes Scannen hin. Suricata: http.uri; content:"/repository/commits"; http.uri; pcre:"/(\.\.|%2e%2e|%252e)/i";

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

GitLab hat ein Problem behoben, das alle Versionen von GitLab CE/EE vor 19.1.8 (ab 18.7), vor 19.2.6 (ab 19.2) und vor 19.3.2 (ab 19.3) betrifft. Unter bestimmten Bedingungen konnte ein nicht authentifizierter Benutzer aufgrund unzureichender Pfadbegrenzung und fehlender Authentifizierungserzwingung in der Repository-Commits-API beliebige Dateien vom GitLab-Server lesen.

Quelle: OSV (Open Source Vulnerabilities), cvelistv5, NVD (NIST), CVE.org (MITRE), CISA KEV Catalog, BSI WID Portal, BSI CSAF

Weakness-Klassen (CWE)

• CWE-22Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

  Base

  The product uses external input to construct a pathname that is intended to identify a file or directory that is located underneath a restricted parent directory, but the product does not properly neutralize special elements within the pathname that can cause the pathname to resolve to a location that is outside of the restricted directory.

  Eintrag bei MITRE CWE-22

Quellen & Referenzen

• gitlab.comgitlab-org/gitlab/-/work_items/627748
• hackerone.comHackerOne Bug Bounty Report #3909881Technische Beschreibung, Exploit, Zugang erforderlich
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2026-85706government-resource
• NVD (NIST)vuln/detail/CVE-2026-85706web

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

1. Modified Analysis24.09.2026nvd@nist.gov

   • CPE Configuration: vorher OR *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 18.7.0 up to (excluding) 19.1.8 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 19.2.0 up to (excluding) 19.2.6 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 19.3.0 up to (excluding) 19.3.2 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 18.7.0 up to (excluding) 19.1.8 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 19.2.0 up to (excluding) 19.2.6 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 19.3.0 up to (excluding) 19.3.2 nachher OR *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 19.2.0 up to (excluding) 19.2.6 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 19.3.0 up to (excluding) 19.3.2 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 19.2.0 up to (excluding) 19.2.6 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 19.3.0 up to (excluding) 19.3.2 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 18.7.0 up to (excluding) 18.11.12 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 19.0.0 up to (excluding) 19.0.9 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 18.7.0 up to (excluding) 18.11.12 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 19.0.0 up to (excluding) 19.0.9 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 19.1.0 up to (excluding) 19.1.8 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 19.1.0 up to (excluding) 19.1.8

2. CVE Modified23.09.2026cve@gitlab.com

   • Description: vorher GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.7 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 that, under certain conditions, an unauthenticated user could have read arbitrary files from the GitLab server due to improper path confinement and missing authentication enforcement in the repository commits API. nachher GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.7 before 18.11.12, 19.0 before 19.0.9, 19.1 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2 that, under certain conditions, an unauthenticated user could have read arbitrary files from the GitLab server due to improper path confinement and missing authentication enforcement in the repository commits API.
   • Affected: nachher Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/85xxx/CVE-2026-85706.json">CVE-2026-85706</a>

3. Initial Analysis14.09.2026nvd@nist.gov

   • CPE Configuration: nachher OR *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 18.7.0 up to (excluding) 19.1.8 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 19.2.0 up to (excluding) 19.2.6 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:* versions from (including) 19.3.0 up to (excluding) 19.3.2 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 18.7.0 up to (excluding) 19.1.8 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 19.2.0 up to (excluding) 19.2.6 *cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:* versions from (including) 19.3.0 up to (excluding) 19.3.2
   • Reference Type: nachher GitLab Inc.: https://gitlab.com/gitlab-org/gitlab/-/work_items/627748 Types: Broken Link
   • Reference Type: nachher GitLab Inc.: https://hackerone.com/reports/3909881 Types: Permissions Required
   • Reference Type: nachher CISA-ADP: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-85706 Types: Third Party Advisory, US Government Resource

4. CVE CISA KEV Update12.09.20269119a7d8-5eab-497f-8521-727c672e3725

   • Date Added: nachher 2026-09-11
   • Due Date: nachher 2026-09-11
   • Required Action: nachher 2026-09-11
   • Vulnerability Name: nachher 2026-09-11

5. CVE Modified12.09.2026134c704f-9b21-4f2e-91b3-4a467353bcc0

   • Reference: nachher https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-85706
   • SSVC: vorher {"id":"CVE-2026-85706","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technic… nachher {"id":"CVE-2026-85706","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technic…

Verknüpfte Advisories

• GitLab veröffentlicht kritische Patches für Codeausführung durch unauthentifizierte BenutzerCSO Online22.10.2026
• Multiples Vulnerabilitäten in GitLab (30. September 2026)CERT-FR (ANSSI)30.09.2026
• Maximal schwerer GitLab-Fehler könnte CI/CD-Server zu Schatztruhe für Angreifer machenCSO Online15.09.2026
• Maximum Severity GitLab Flaw Puts Supply Chains at RiskDark Reading14.09.2026
• GitLab beheert Schwachstelle in Community und Enterprise EditionsNCSC-NL12.09.2026
• GitLab CVSS 10 Schwachstelle zieht In-the-Wild-Angriffe nach BekanntgabeThe Hacker News11.09.2026
• GitLab warnt vor kritischer Path Traversal Schwachstelle (CVE-2026-85706)BleepingComputer11.09.2026