Security · 23.9.2026
Eine Sicherheitslücke in GitLab ermöglicht es Angreifern, über kompromittierte Issue-E-Mail-Adressen Schadcode einzuschleusen und CI/CD-Pipelines auszuführen.
Eine Schwachstelle in der E-Mail-Funktionalität der DevOps-Plattform GitLab stellt ein erhebliches Sicherheitsrisiko für Entwickler und Unternehmen dar. Die privaten E-Mail-Adressen, die GitLab-Nutzern zur Erstellung von Issues per E-Mail bereitstellt, fungieren intern wie Zugangsdaten. Gelangen diese spezifischen Adressen in die Hände unbefugter Dritter, können Angreifer Schadcode im Namen des betroffenen Nutzers in Repositories einpflegen. Dies ermöglicht es ihnen, Änderungen an sensiblen Branches wie dem Main-Branch vorzunehmen und automatisierte CI/CD-Pipelines direkt auszuführen.
Für IT-Verantwortliche und Administratoren im DACH-Raum ist dieses Szenario hochgradig besorgniserregend. Die Integrität der Software-Lieferkette (Supply Chain Security) wird durch solche Schwachstellen direkt gefährdet. Da die bösartigen Commits unter der Identität eines legitimen Teammitglieds erscheinen, sind sie bei manuellen Code-Reviews nur schwer als Angriffe zu identifizieren. Ein erfolgreicher Einbruch kann unbemerkt Hintertüren in produktive Software-Systeme einschleusen. Dies betrifft sowohl interne Unternehmensanwendungen als auch Softwareprodukte, die an Endkunden ausgeliefert werden. Auch anspruchsvolle Privatanwender, die eigene GitLab-Instanzen betreiben, sollten das Risiko nicht unterschätzen.
Um die Kontrolle über die eigenen Repositories zu behalten, müssen Administratoren und Entwickler umgehend präventive Sicherheitsmaßnahmen umsetzen:
Die Schwachstelle verdeutlicht, dass vermeintlich praktische Automatisierungsfunktionen oft unerwartete Angriffsvektoren eröffnen. Nur durch eine konsequente Kombination aus restriktiven Zugriffsrechten, strenger Geheimhaltung von Systemdaten und einer lückenlosen Überwachung der CI/CD-Pipelines lässt sich die Sicherheit moderner Entwicklungsumgebungen nachhaltig gewährleisten.
Quelle: The Hacker News