CVE-2026-85706: Kritische GitLab-Schwachstelle ermöglicht Diebstahl von Dateien ohne Zugangsdaten

CVE-2026-85706: Kritische GitLab-Schwachstelle ermöglicht Diebstahl von Dateien ohne Zugangsdaten

In Kürze

GitLab hat eine kritische Schwachstelle (CVE-2026-85706, CVSS 10.0) bestätigt, die es einem Angreifer ohne Zugangsdaten ermöglicht, beliebige Dateien auf dem Server zu lesen [1]. Sie ist im CISA-KEV-Katalog für aktiv ausgenutzte Schwachstellen aufgeführt [2]. Betroffen sind GitLab Community- und Enterprise-Edition-Instanzen [1]. Wenn Ihr Unternehmen GitLab einsetzt, besteht die heutige Priorität darin, die installierte Version zu identifizieren und den entsprechenden Patch unverzüglich anzuwenden.

Was es ist und warum es wichtig ist

Die Schwachstelle befindet sich in der Commits-API der GitLab-Repositorys. Laut offizieller Beschreibung ermöglicht ein Fehler bei der Pfadbegrenzung ("path confinement") in Kombination mit einer fehlenden Authentifizierungsprüfung einem nicht authentifizierten Benutzer den Zugriff auf beliebige Dateien auf dem Server mittels Path-Traversal-Techniken [1]. Die NVD hat sie als kritisch mit einem CVSS-Wert von 10.0 eingestuft, dem höchstmöglichen Wert [1], was widerspiegelt, dass sie remote, ohne Privilegien und ohne Benutzerinteraktion ausgenutzt werden kann, mit potenziell vollständigen Auswirkungen auf die Vertraulichkeit der Daten.

Das Intel-Team von OCIRIA hat diese Schwachstelle als "Path Traversal / Dateizugriff" eingestuft und betont, dass jede dem Internet ausgesetzte GitLab-Instanz ein direktes Ziel darstellt, da keine Authentifizierung erforderlich ist: Quellcode, Konfigurationsdateien mit Secrets, Umgebungsvariablen oder im Repository gespeicherte Zugangsdaten könnten offengelegt werden, ohne Spuren eines authentifizierten Zugriffs zu hinterlassen.

Dass die Schwachstelle im CISA-KEV-Katalog gelistet ist, ist ein relevanter Fakt: Es bedeutet, dass es Nachweise für aktive Ausnutzung in der realen Welt gibt, nicht nur ein theoretisches Risiko [2].

Wen betrifft es

Betroffen sind Organisationen, die eigene (self-managed) Instanzen von GitLab Community Edition (CE) oder Enterprise Edition (EE) betreiben [1]. Laut offizieller Herstellerbeschreibung umfasst der betroffene Versionsbereich die Serie 18.7 bis hin zu bestimmten Versionen der Serien 19.0, 19.1, 19.2 und 19.3, jeweils mit der entsprechenden korrigierten Version [1]. Angesichts der Breite dieses Bereichs sollte jedes Entwicklungs-, DevOps- oder Plattform-Team, das GitLab on-premise oder in eigener Infrastruktur betreibt, sich als potenziell exponiert betrachten, bis die konkrete Version überprüft wurde.

Organisationen, die GitLab.com (SaaS) nutzen, das direkt von GitLab verwaltet wird, erhalten Patches in der Regel zentral, es empfiehlt sich jedoch, dies bei Zweifeln zum Bereitstellungsmodell mit dem verantwortlichen Team für dieses Konto zu bestätigen.

Wie Sie feststellen, ob Sie betroffen sind

• Identifizieren Sie die genaue Version von GitLab CE/EE, die Sie bereitgestellt haben (sichtbar im Administrationspanel oder unter dem Endpunkt /help).
• Vergleichen Sie diese Version mit den vom Hersteller angegebenen betroffenen Bereichen [1]: 18.7–18.11.12, 19.0–19.0.9, 19.1–19.1.8, 19.2–19.2.6 und 19.3–19.3.2.
• Überprüfen Sie, ob Ihre GitLab-Instanz ohne Netzwerkbeschränkungen (VPN, IP-Allowlisting) aus dem Internet erreichbar ist, da die Ausnutzung keine Authentifizierung erfordert.
• Im Rahmen Ihrer allgemeinen Sicherheitshygiene sollten Sie kartieren, welche Assets und Dienste Ihrer Organisation dem Internet ausgesetzt sind; der Angriffsflächen-Radar von OCIRIA ist genau dafür konzipiert, diese Art von Exposition kontinuierlich zu erkennen.

Wie Sie sich schützen

1. Aktualisieren Sie GitLab sofort auf die erste korrigierte Version Ihres Zweigs (18.11.12, 19.0.9, 19.1.8, 19.2.6 oder 19.3.2, je nachdem) [1].

2. Beschränken Sie den Netzwerkzugriff auf die Instanz, während Sie die Aktualisierung abschließen: begrenzen Sie den Zugriff auf vertrauenswürdige IPs oder Unternehmens-VPN.

3. Prüfen Sie die Zugriffsprotokolle der Commits-API für den Zeitraum, in dem Ihre Instanz eine verwundbare Version hatte, und suchen Sie nach Path-Traversal-Mustern oder anomalen, nicht authentifizierten Zugriffen.

4. Rotieren Sie Zugangsdaten und Secrets, die möglicherweise in zugänglichen Repositorys oder Konfigurationsdateien gespeichert waren, als Vorsichtsmaßnahme gegen eine mögliche Offenlegung.

5. Priorisieren Sie diesen Patch vor anderen ausstehenden Patches: Die Kombination aus CVSS 10.0 und der Präsenz im CISA-KEV-Katalog zeigt maximales Risiko und bekannte Ausnutzung an [1][2].

FAQ

Muss ich authentifiziert sein, um angegriffen zu werden? Nein. Die Schwachstelle ermöglicht den Zugriff für einen Angreifer ohne Zugangsdaten, was sie besonders gefährlich macht [1].

Gibt es Hinweise auf aktive Ausnutzung? Ja, die Schwachstelle ist im CISA-KEV-Katalog aufgeführt, der Schwachstellen mit bestätigter aktiver Ausnutzung erfasst [2].

Betrifft es auch GitLab.com? Die offizielle Beschreibung bezieht sich auf GitLab-CE/EE-Instanzen; wenn Sie GitLab.com als verwalteten Dienst nutzen, bestätigen Sie den Patch-Status bei Ihrem Anbieter.

Reicht ein Update aus, oder muss ich noch mehr tun? Ein Update ist der unverzichtbare Schritt, aber angesichts des Risikos einer Dateiexposition während des verwundbaren Zeitraums ist die Überprüfung von Protokollen und die Rotation sensibler Zugangsdaten eine sinnvolle Vorsichtsmaßnahme.

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-85706
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json