CVE-2026-97229: GitLab Community Edition und Enterprise Edition Integer Overflow oder Wraparound Sicherheitslücke

Laut Help Net Security, ist CVE-2026-97229 eine Integer-Overflow-Schwachstelle im CI/CD-Compiler für reguläre Ausdrücke von GitLab, die sowohl GitLab Community Edition (CE) als auch Enterprise Edition (EE) betrifft[2]. Das Outlet gibt an, dass GitLab der Schwachstelle einen CVSS-Score von 10,0, dem höchstmöglichen Wert, zugewiesen hat.[2]Rapid7 sagt, dass es die willkürliche Codeausführung auf einem ungepatchten, offiziellen GitLab-CE-Image unabhängig reproduziert hat[3]. Die Tests zeigten, dass ein Angreifer zunächst eine schädliche CI/CD-Konfigurationsdatei committen können muss[3] zu einem öffentlichen Projekt. SecurityOnline berichtet, dass Censys schätzt, dass derzeit 25.766 internetgestützte Hosts und 79.224 Webeigenschaften anfällige Versionen ausführen.[4]Alpine Linux sagt, dass am 20. und 21. Oktober ein neu registriertes Konto crafted CI-Konfigurationen[5] an seine ungepatchte GitLab-Instanz gesendet hat, die GitLab-Arbeiterprozesse 8-mal zum Absturz brachte.[5] Das Projekt sagt, dass es die GitLab-Instanz von Grund auf neu aufgebaut hat[5], weil es eine Codeausführung nicht ausschließen konnte. Es sagt auch, dass keine Signierungsschlüssel exposiert wurden.[5]Alpine warnt auch, dass das Upgrade von GitLab allein möglicherweise die Schwachstelle nicht behebt: "Der Fix ist nicht in GitLabs eigenem Code, sondern in einem Patch für Ruby, den GitLab nur in seinen offiziellen Paketen bereitstellt."[5]Laut HOL, sind die Linux-Pakete und offiziellen Images von GitLab ab 19.4.2, 19.3.5 und 19.2.8 behoben[1]. Benutzerdefinierte Builds benötigen auch Ruby 3.3.13, 3.4.12 oder 4.0.9.[1] HOL sagt, dass CISA ein Fälligkeitsdatum vom 1. November 2026 für US-Bundesbehörden und forensische Triage festgelegt hat.[1]