Rapid7 macht aus GitLabs 10.0-Lücke eine Live-Produktdemo – drei Wochen vor den Quartalszahlen

Ein Regex, der die Prüfung austrickst

GitLab▼−5.70% — GitLab, down 5.70 percent today hat am 12. Oktober einen Out-of-Band-Patch veröffentlicht↗ – ein Sicherheitsupdate außerhalb des üblichen monatlichen Zyklus. Es schließt die Schwachstelle CVE-2026-97229, einen Integer-Überlauf, den GitLab mit 10.0 bewertet hat – dem Höchstwert auf der CVSS-Schweregradskala ¹². Die Lücke steckt im Compiler für reguläre Ausdrücke in CI/CD-Konfigurationen, also in den Pipelines, mit denen Software gebaut und ausgeliefert wird; betroffen sind die selbst betriebenen Community- und Enterprise-Editionen. Sie war eine von 24 Lücken, die an diesem Tag behoben wurden, und war GitLab über einen Bug-Bounty-Report auf HackerOne gemeldet worden – von einem Sicherheitsforscher, der als joaxcar auftritt ²³.

Einen Tag später meldete Rapid7▼−3.59% — Rapid7, down 3.59 percent today, das Unternehmen habe die komplette Angriffskette auf dem offiziellen, ungepatchten Community-Edition-Image 19.4.1 reproduziert↗ – bei aktivierter Adressraum-Randomisierung (ASLR). Dieselbe Eingabe scheiterte an der gepatchten Version 19.4.2 ¹. Der Einstieg erfolgt in zwei Stufen: Ein präparierter regulärer Ausdruck in einer Pipeline-Datei .gitlab-ci.yml passiert zunächst GitLabs Validierung. Anschließend wird er gegen einen Repository-Pfad mit UTF-8-Zeichen neu kompiliert – wobei ein Integer-Überlauf in Rubys Onigmo-Engine dem Angreifer die Kontrolle über den Prozess übergibt.

24 Stunden vom Patch zum funktionierenden Exploit

Betriebssystembefehle laufen anschließend als Nutzer git – das Dienstkonto, unter dem die GitLab-Anwendung läuft ¹. Ein öffentlicher Proof of Concept↗ bläht 248 Zeichen zu mehr als 2 GB Engine-Code auf und erreicht die Funktion system() ⁴. GitLab stuft die Lücke als ohne jede Authentifizierung ausnutzbar ein; für die Reproduktion brauchte Rapid7 zunächst noch einen Weg, die Konfigurationsdatei einzuschleusen. Diese Hürde entfällt überall dort, wo eine Instanz beliebigen Nutzern erlaubt, sich zu registrieren und öffentliche Projekte anzulegen ¹.

Selbst betriebene Server beherbergen Quellcode und Cloud-Zugangsdaten

Was dahinter steckt, erklärt, warum ein Score von 10.0 Angreifer so schnell anlockt: der Quellcode einer Organisation, ihre Build-Pipelines und die Zugangsdaten, mit denen diese Pipelines auf Cloud-Konten zugreifen – in den Worten von Roman Y. Sannikov, globaler Forschungskoordinator bei iCounter ⁵. Mehr als die Hälfte der Fortune 100 zählt zu GitLabs Kunden ³.

Es ist GitLabs zweite Schwachstelle mit maximalem Schweregrad binnen zwei Monaten. Einen Tag, nachdem GitLab die Pfad-Traversal-Lücke CVE-2026-85706 vom September geschlossen hatte, landete sie im Katalog bekannt ausgenutzter Schwachstellen (KEV) der US-Cybersicherheitsbehörde CISA – und Forscher von watchTowr protokollierten bereits Sondierungen ³⁶. „Teams sollten davon ausgehen, dass das Zeitfenster zwischen Offenlegung und Ausnutzung Tage beträgt, nicht Wochen“, sagte Sannikov ⁵. Bis zum 13. Oktober gab es keine bestätigte Ausnutzung der neuen Lücke ¹.

Erkennung noch am selben Tag: Die neue Einheit feiert Premiere im Produkt

Aus geschäftlicher Sicht ist das Timing die eigentliche Nachricht. Rapid7 Intelligence, die Einheit, die am 2. Oktober an den Start ging↗, um Schwachstellenforschung direkt in bezahlte Produkte zu überführen, hat im selben Content-Release vom 13. Oktober einen authentifizierten Erkennungscheck für diese Lücke in die Produkte Exposure Command, Vulnerability Management und Nexpose aufgenommen ¹⁷. Für zahlende Kunden ist das das Startversprechen, eingelöst in funktionierendem Code: Forschung, die binnen eines Tages nach dem Bekanntwerden einer Schwachstelle im Produkt ankommt.

Der an der Nasdaq notierte Mutterkonzern braucht diese Demonstration. Der Umsatz sank im Juniquartal um 1,5 Prozent gegenüber dem Vorjahr↗ – der zweite Rückgang in Folge –, und JPMorgan stufte die Aktie im September auf Underweight ab, bei einem Kursziel von 12 Dollar ⁸⁹. Die Zahlen für das dritte Quartal erscheinen am 4. November↗ ⁸.

GitLab wächst um 21 Prozent – Rapid7 schrumpft

GitLab (NASDAQ: GTLB) wächst und ist zugleich verwundbar: Im Quartal bis Ende Juli stieg der Umsatz um 21,3 Prozent auf 286,3 Millionen Dollar↗, bei einem Nettoverlust von 36,8 Millionen Dollar ¹⁰. GitLab.com ist bereits gepatcht, und Kunden von Dedicated, GitLabs gehostetem Single-Tenant-Angebot, müssen nichts tun – der direkte Schaden fällt also auf die Server der Kunden, nicht auf die Bücher des Anbieters ¹.

Jetzt upgraden – dann zwei Termine im Blick behalten

Die Patch-Ziele sind konkret: 19.2.8, 19.3.5 und 19.4.2 – jetzt einspielen, nicht erst beim nächsten monatlichen Zyklus ¹. Muss ein Upgrade warten, rät GitLab, den anonymen Zugriff auf öffentliche Projekte einzuschränken und nicht vertrauenswürdigen Nutzern zu verbieten, solche Projekte anzulegen ¹. Blieb eine Instanz seit der Offenlegung ungepatcht, lautet Sannikovs Rat: CI/CD-Secrets und Token rotieren sowie Runner- und Pipeline-Aktivität seither prüfen ⁵.

Wie die Sache ausgeht, werden zwei Anzeichen zeigen. Das eine: ob CVE-2026-97229 ihrer September-Schwester in den KEV-Katalog der US-Cybersicherheitsbehörde CISA folgt ³⁶. Das andere ist der 4. November, wenn Rapid7 die Zahlen für das dritte Quartal vorlegt und sagen muss, ob sich die Intelligence-Einheit in den Verkäufen kostenpflichtiger Produkte niederschlägt ⁸. Bis dahin liegt das Risiko bei jedem, der eine vergessene, selbst betriebene Instanz am Laufen hält.