Kwetsbaarheden in GitLab CE en EE: update nu

Er zijn meerdere kwetsbaarheden gevonden in GitLab Community Edition (CE) en Enterprise Edition (EE). De kwetsbaarheden hebben CVE-2026-97229 en CVE-2026-92883 als de Common Vulnerabilities and Exposures (CVE) nummers gekregen. De ernstigste kwetsbaarheid, CVE-2026-97229, heeft een maximale CVSS-score van 10.0, wat betekent dat het risico groot is. Het Nationaal Cyber Security Centrum (NCSC) beoordeelt de kans op misbruik als gemiddeld en de mogelijke schade als hoog. Het advies is om de nieuwste beveiligingsupdates zo snel mogelijk te installeren.

GitLab is software die bedrijven gebruiken om samen aan softwareprojecten te werken. Het helpt bij het beheren van broncode, het automatisch testen en uitrollen van software, en het samenwerken in teams.

Hoe kunnen de kwetsbaarheden misbruikt worden?

Kwaadwillenden kunnen de kwetsbaarheden misbruiken door, zonder toestemming, eigen code uit te voeren via een malafide configuratie in de CI/CD-omgeving. Dit betekent dat iemand van buitenaf, onder specifieke omstandigheden, opdrachten kan laten uitvoeren op het onderliggende systeem. In dit geval de Continuous Integration (CI) and Continuous Delivery/Deployment (CD) pijplijn, een transparant en geautomatiseerd proces voor softwareontwikkeling en -levering. Daarnaast kunnen de kwaadwillenden toegang krijgen tot gevoelige gegevens of aanvallen uitvoeren die de werking van de software verstoren. De ernstigste kwetsbaarheid maakt het zelfs mogelijk dat het systeem kan worden misbruikt zonder in te loggen. Dit vergroot het risico. 

Als deze kwetsbaarheden niet worden aangepakt, kan een aanvaller de controle over delen van het systeem krijgen. Dit kan leiden tot het stelen of aanpassen van gegevens, het uitvoeren van schadelijke acties of het verstoren van de dienstverlening. Er is bekend dat deze kwetsbaarheden actief misbruikt kunnen worden, waardoor het belangrijk is om snel te handelen.

Versies voorafgaand aan 19.2.8, 19.3.5 en 19.4.2