GitLab: Mehrere Schwachstellen
WID-SEC-2026-0292 · première publication 07.12.2021 · mise à jour 04.02.2026 · CVSS 9,4
De quoi il s’agit
GitLab ist eine Webanwendung zur Versionsverwaltung für Softwareprojekte auf Basis von git. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in GitLab ausnutzen, um seine Privilegien zu erhöhen, Informationen offenzulegen, Sicherheitsvorkehrungen zu umgehen oder einen Denial of Service zu verursachen.
Dans quelles conditions ?
Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- seine Privilegien zu erhöhen
- Informationen offenzulegen
- Sicherheitsvorkehrungen zu umgehen oder einen Denial of Service zu verursachen
Suis-je concerné ?
Concernés selon le BSI :
- Open Source Arch Linux
- Open Source GitLab <14.5.2
- Open Source GitLab <14.4.4
- Open Source GitLab <14.3.6
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source GitLab 14.5.2
- Open Source GitLab 14.4.4
- Open Source GitLab 14.3.6
La faille est-elle déjà exploitée ?
- CVE-2021-39935: exploitée dans la nature selon la CISA, au catalogue depuis le 03.02.2026.
Informations et sources
- Avis original du BSI (WID)
- GitLab Security Release: 14.5.2, 14.4.4, and 14.3.6 vom 2021-12-06 about.gitlab.com
- Arch Linux Security Advisory ASA-202112-10 vom 2021-12-11 security.archlinux.org
- CISA Known Exploited Vulnerabilities Catalog vom 2026-02-03 www.cisa.gov
CVE: CVE-2021-39910, CVE-2021-39915, CVE-2021-39916, CVE-2021-39917, CVE-2021-39918, CVE-2021-39919, CVE-2021-39930, CVE-2021-39931, CVE-2021-39932, CVE-2021-39933, CVE-2021-39934, CVE-2021-39935, CVE-2021-39936, CVE-2021-39937, CVE-2021-39938, CVE-2021-39940, CVE-2021-39941, CVE-2021-39944, CVE-2021-39945
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.