NCSC waarschuwt voor ernstig lek in eigen GitLab-servers

Organisaties die GitLab op een eigen server draaien, moeten op korte termijn een beveiligingsupdate installeren. Daarvoor waarschuwde het Nationaal Cyber Security Centrum op 13 oktober. Een aanvaller kan via een speciaal gemaakt bestand voor automatische softwaretaken code laten uitvoeren, zonder eerst in te loggen. Daarmee kan de omgeving waarin een team aan software werkt in gevaar komen.

Eigen server vraagt actie

GitLab bracht de reparaties al op 12 oktober uit. Voor de zwaarste fout gaat het om de reeksen 19.2, 19.3 en 19.4: de gerepareerde versies zijn respectievelijk 19.2.8, 19.3.5 en 19.4.2. De openbare dienst GitLab.com draait volgens de leverancier al op de herstelde software. Ook klanten van GitLab Dedicated hoeven zelf niets te doen. Het verschil zit dus in wie de server beheert, niet in de computer waarmee een medewerker erop inlogt.

Het lek, CVE-2026-97229, heeft een ernstscore van 10 op 10. Die score zegt iets over de mogelijke gevolgen en de voorwaarden voor een aanval; het is geen telling van getroffen organisaties. Het NCSC meldt in zijn advies geen concrete slachtoffers. Het waarschuwt daarnaast voor andere gerepareerde fouten waarmee onder meer gevoelige gegevens toegankelijk kunnen worden.

GitLab wordt gebruikt om samen aan softwareprojecten te werken. Teams kunnen taken automatisch laten uitvoeren zodra ze wijzigingen opslaan: bijvoorbeeld een programma bouwen, testen of klaarzetten voor gebruik. Die opeenvolging heet een pipeline. De instructies daarvoor staan in een bestand bij het project. Daardoor is zo’n bestand meer dan een beschrijving voor collega’s: het bepaalt welk werk de aangesloten uitvoerders doen. GitLabs eigen uitleg laat zien hoe resultaten van die taken terugkomen bij het project.

Ook toegang tot andere diensten

Bij die automatische taken kunnen ook toegangssleutels en wachtwoorden nodig zijn, bijvoorbeeld om een andere dienst te bereiken. GitLab waarschuwt in zijn algemene documentatie dat kwaadaardige taakinstructies zulke gegevens kunnen doorsturen. Waarden verbergen in een logboek biedt daartegen geen volledige bescherming. Dat verklaart waarom de beveiliging van deze werkomgeving verder reikt dan alleen de zichtbare broncode. De documentatie beschrijft een algemeen risico; ze toont niet aan dat bij dit nieuwe lek daadwerkelijk sleutels zijn gestolen.

De reparatie kan tijdelijk gevolgen hebben voor het werk. GitLab meldt dat installaties op één server tijdens deze update uitvallen doordat eerst de database moet worden aangepast. Bij meerdere servers kan onder de juiste voorwaarden zonder uitval worden bijgewerkt. Voor een upgrade mét onderbreking schrijft de afzonderlijke handleiding voor dat de toepassing eerst wordt stilgezet, zodat er tijdens het bijwerken niet meer naar de database wordt geschreven. Teams kunnen hun eigen projectomgeving daardoor tijdelijk niet normaal gebruiken.