GitLab: Ganzzahlüberlauf (CVE-2026-97229)

Was ist betroffen, was ist zu tun

GitLab hat ein Problem in GitLab CE/EE behoben, das alle Versionen vor 19.2.8, 19.3 vor 19.3.5 und 19.4 vor 19.4.2 betrifft. Unter bestimmten Bedingungen hätte dies es einem nicht authentifizierten Benutzer ermöglicht, beliebigen Code auf dem GitLab-Server auszuführen, indem eine speziell präparierte reguläre Ausdrucksregel in einer CI/CD-Konfiguration verwendet wurde, aufgrund unzureichender Validierung von regulären Ausdrücken.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie GitLab auf Version 19.2.8, GitLab auf Version 19.3.5, GitLab auf Version 19.4.2. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• GitLab lt 19.2..19.2.8
• GitLab lt 19.3..19.3.5
• GitLab lt 19.4..19.4.2

Behoben in

• GitLab 19.2.8
• GitLab 19.3.5
• GitLab 19.4.2

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Patch einspielen: Alle GitLab-CE/EE-Instanzen auf die korrigierten Versionen 19.2.8, 19.3.5 bzw. 19.4.2 (oder neuer) aktualisieren. Betroffen sind 19.2 vor 19.2.8, 19.3 vor 19.3.5 und 19.4 vor 19.4.2. Prüfen Sie die laufende Version mit gitlab-rake gitlab:env:info oder unter /help.
   • Exposition sofort reduzieren: Aus dem Internet erreichbare GitLab-Instanzen, die nicht innerhalb von Stunden gepatcht werden können, hinter VPN, ZTNA oder eine IP-Allowlist auf dem Reverse-Proxy stellen (TCP 443/80). Der Angriffsvektor ist unauthentifiziert.
   • Selbstregistrierung und anonyme Projektzugriffe einschränken: Unter Admin → Settings → General → Sign-up restrictions die offene Registrierung deaktivieren. Die Sichtbarkeitsstufe „Public“ vorübergehend unter „Restricted visibility levels“ sperren, um die Angriffsfläche für eingeschleuste CI/CD-Konfigurationen zu verkleinern.
   • Kompromittierungsprüfung vor dem Patch: Instanz-Snapshot und Log-Sicherung erstellen (/var/log/gitlab/). Nach unbekannten Prozessen unter dem Benutzer git suchen sowie nach neuen SSH-Keys, Admin-Konten und Personal Access Tokens.
   • Bei Kompromittierungsverdacht Geheimnisse rotieren: Betroffen sind CI/CD-Variablen, Runner-Registrierungs- und Authentifizierungstoken, Deploy-Keys und -Tokens, PATs sowie gitlab-secrets.json. Zusätzlich alle Cloud- und Registry-Zugangsdaten rotieren, die in Pipelines hinterlegt sind. Ein GitLab-Server ist ein Lieferketten-Knotenpunkt.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: GitLab-Server und Runner in eigene Zonen legen. Ausgehende Verbindungen des GitLab-Applikationsservers per Egress-Filter auf benötigte Ziele beschränken (Update-Server, SMTP, Objekt-Storage). Das erschwert Reverse Shells und Nachladen von Schadcode.
   • WAF- und Reverse-Proxy-Regel: Nicht authentifizierte POST-Requests auf CI-Konfigurations-Endpunkte blockieren oder drosseln. Dazu gehören /api/v4/ci/lint, /api/v4/projects/*/ci/lint und /-/ci/editor. Ebenfalls ungewöhnlich große oder stark verschachtelte Regex-Muster in Request-Bodies (rules:/if: mit =~) zurückweisen. Die genauen Exploit-Pfade sind im Vendor-Advisory nachzuschlagen. Die Regel ist eine Übergangsmaßnahme und ersetzt den Patch nicht.
   • Pipeline-Härtung: Pipelines für Merge Requests aus Forks und von externen Beitragenden nur nach manueller Freigabe ausführen. Schreibrechte auf .gitlab-ci.yml über CODEOWNERS und Protected Branches einschränken.
   • Endpunkthärtung: Die GitLab-Dienste (puma, sidekiq, workhorse) mit EDR überwachen. Wo möglich AppArmor- oder SELinux-Profile durchsetzen, die das Starten von Shells oder Netzwerk-Tools durch Applikationsprozesse unterbinden.
   • Identitäts- und Rechtemanagement (IAM): Admin-Konten mit MFA absichern. Instanzweite Runner mit privilegiertem Modus abschaffen und Runner-Tokens auf Projektebene begrenzen. Damit sinkt der Schaden im Fall einer Codeausführung.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • EDR-/Sysmon-Prozessabstammung (Linux: Sysmon for Linux EID 1 oder auditd execve): Elternprozesse puma, sidekiq oder gitlab-workhorse starten sh, bash, curl, wget, python, nc oder perl. Sigma-Form: ParentImage|endswith: ['/puma','/sidekiq'] AND Image|endswith: ['/sh','/bash','/curl','/wget','/nc'].
   • GitLab-Applikationslogs: In api_json.log und production_json.log nach POSTs auf ci/lint, Pipeline-Erstellung oder Commits auf .gitlab-ci.yml von anonymen bzw. neu registrierten Benutzern suchen, besonders mit Status 500 oder sehr langer Laufzeit (duration_s). SPL-Skizze: index=gitlab path="*ci/lint*" (user_id=null OR status=500) | stats count by remote_ip.
   • Stabilitätsindikatoren: Häufige Abstürze oder Neustarts von puma- und sidekiq-Workern in /var/log/gitlab/puma/ und sidekiq/ (Segfaults, Speicherspitzen) können auf Exploit-Versuche gegen den Integer-Überlauf hindeuten.
   • Netzwerk-Telemetrie (Zeek/Suricata): Neue ausgehende Verbindungen vom GitLab-Host zu unbekannten externen IPs, langlebige TCP-Sessions auf untypischen Ports oder DNS-Anfragen zu frisch registrierten Domains.
   • Persistenz: Neue Einträge in ~git/.ssh/authorized_keys, Cronjobs des Benutzers git, neue Admin-Benutzer oder Impersonation-Tokens in audit_json.log.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

GitLab hat ein Problem in GitLab CE/EE behoben, das alle Versionen vor 19.2.8, 19.3 vor 19.3.5 und 19.4 vor 19.4.2 betrifft. Unter bestimmten Bedingungen hätte dies es einem nicht authentifizierten Benutzer ermöglicht, beliebigen Code auf dem GitLab-Server auszuführen, indem eine speziell präparierte reguläre Ausdrucksregel in einer CI/CD-Konfiguration verwendet wurde, aufgrund unzureichender Validierung von regulären Ausdrücken.

Quelle: certeu_advisory, Microsoft Security Update Guide, pwn.watch, cvelistv5, NVD (NIST), OSV (Open Source Vulnerabilities), CISA KEV Catalog, redhat_csaf, CVE.org (MITRE), CSA/SingCERT, BSI WID Portal, BSI CSAF

Hersteller und Produkte

• GitLab GitLab
• Open Source Gitlab

Weakness-Klassen (CWE)

• CWE-190Integer Overflow or Wraparound

  Base

  The product performs a calculation that can produce an integer overflow or wraparound when the logic assumes that the resulting value will always be larger than the original value. This occurs when an integer value is incremented to a value that is too large to store in the associated representation. When this occurs, the value may become a very small or negative number.

  Eintrag bei MITRE CWE-190

Quellen & Referenzen

• gitlab.comgitlab-org/gitlab/-/work_items/630686Issue-Tracker, Link defekt, report
• hackerone.comHackerOne Bug Bounty Report #4055749Technische Beschreibung, Exploit, Zugang erforderlich, Zugang erforderlich, web
• hackerone.comHackerOne Bug Bounty Report #4058589Technische Beschreibung, Exploit, Zugang erforderlich, Zugang erforderlich, web
• docs.gitlab.comGitLab Critical Patch Release: 19.4.2, 19.3.5, 19.2.8pwn-watch, Release Notes, Herstellerhinweis, advisory
• NVD (NIST)vuln/detail/CVE-2026-97229web
• pwn.watchpwn.watch: Ruby 4.0.9, 3.4.12 and 3.3.13 fix Regexp compiler memory bugs behind GitLab's CVSS 10 RCEspwn-watch
• thehackernews.comRuby Fixes Three Regex Engine Bugs Responsible for Four Critical GitLab RCE Flawspwn-watch
• ruby-lang.orgRegexp compilation fixes related to GitLab's CVE-2026-89078, CVE-2026-93577, CVE-2026-97229 and CVE-2026-110264pwn-watch
• ruby-lang.orgRuby 4.0.9 Releasedpwn-watch
• ruby-lang.orgRuby 3.4.12 Releasedpwn-watch
• ruby-lang.orgRuby 3.3.13 Releasedpwn-watch
• ruby-lang.orgRuby Maintenance Branchespwn-watch
• docs.gitlab.comGitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13pwn-watch
• docs.gitlab.comGitLab Critical Patch Release: 19.4.1, 19.3.3, 19.2.7pwn-watch
• rapid7.comGitLab CI/CD Regex Integer Overflow (CVE-2026-97229) technical analysispwn-watch
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2026-97229government-resource, US-Behörde, web
• cisa.govCISA Adds Two Known Exploited Vulnerabilities to Catalogpwn-watch
• alpinelinux.orgGitLab security incident: attempted exploitation of CVE-2026-97229pwn-watch
• thehackernews.comAttacker Tried to Exploit Alpine Linux's GitLab via CVSS 10.0 Flaw Its Ruby Left Openpwn-watch
• bleepingcomputer.comCISA says max severity GitLab flaw now exploited in the wildpwn-watch

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 31.10.2026Eintrag geändertCVE Program

   Neue Referenzen:

   • https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/
   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves/

   Kennung der Quelle: af854a3a-2127-422b-91ae-364da2661108

2. 30.10.2026Eintrag geändertCVE Program

   Neue Referenzen:

   • https://github.com/rapid7/metasploit-framework/pull/22017
   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://github.com/rapid7/metasploit-framework/pull/22017

   Kennung der Quelle: af854a3a-2127-422b-91ae-364da2661108

3. 30.10.2026Analyse der NVD geändertNVD

   Neue Referenzen:

   • https://gitlab.com/gitlab-org/gitlab/-/work_items/630686
   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-97229
   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenztyp	geändert	GitLab Inc.: https://gitlab.com/gitlab-org/gitlab/-/work_items/630686 Types: Issue Tracking	GitLab Inc.: https://gitlab.com/gitlab-org/gitlab/-/work_items/630686 Types: Broken Link
   Referenztyp	ergänzt	—	CISA-ADP: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-97229 Types: US Government Resource

   Kennung der Quelle: nvd@nist.gov

4. 30.10.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	entfernt	{"id":"CVE-2026-97229","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-10-29T19:50:05.704572Z"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-97229","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-10-13T00:00:00+00:00"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

5. 29.10.2026CISA-KEV-Eintrag aktualisiert9119a7d8…

   4 Einzeländerungen: Date Added, Due Date, Required Action, Vulnerability Name

   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Date Added	ergänzt	—	2026-10-29
   Due Date	ergänzt	—	2026-10-29
   Required Action	ergänzt	—	2026-10-29
   Vulnerability Name	ergänzt	—	2026-10-29

   Kennung der Quelle: 9119a7d8-5eab-497f-8521-727c672e3725

Verknüpfte Advisories

• Schwere GitLab-Sicherheitslücke ausgenutzt gegen Alpine LinuxSecurityWeek30.10.2026
• CISA fügt aktiv ausgenutzte GitLab RCE und Cisco Firewall DoS-Schwachstellen zur KEV hinzuThe Hacker News30.10.2026
• Angreifer versuchten, kritische GitLab-Schwachstelle in Alpine Linux auszunutzenThe Hacker News29.10.2026
• Oktober Patch Tuesday: Über 1.400 Microsoft-Sicherheitslücken zu schließen, darunter drei Zero DaysCSO Online14.10.2026
• GitLab behebt kritische Regex-Schwachstelle und fünf weitere SicherheitslückenCSO Online13.10.2026
• NCSC-2026-0414 [1.00] [M/H] Kwetsbaarheden verholpen in GitLabNCSC-NL13.10.2026