„`html
Zusammenfassung
CVE-2026-7250 beschreibt eine Denial-of-Service (DoS) Schwachstelle in GitLab Community Edition (CE) und Enterprise Edition (EE). Die Vulnerabilität ermöglicht es unauthentifizierten Angreifern, durch manipulierte API-Anfragen den Dienst zum Absturz zu bringen. Das Problem liegt in unzureichender Input-Validierung der API-Request-Parsing-Middleware.
Betroffene Systeme
- GitLab CE/EE Version 12.10 bis 18.10.7
- GitLab CE/EE Version 18.11.0 bis 18.11.4
- GitLab CE/EE Version 19.0.0 bis 19.0.1
Alle betroffenen Versionen erfordern eine sofortige Aktualisierung.
Technische Details
Die Schwachstelle befindet sich in der API-Request-Parsing-Middleware von GitLab. Durch unzureichende Input-Validierung können speziell konstruierte API-Requests verarbeitet werden, die zu einer Exception oder einem Crash des API-Workers führen. Da keine Authentifizierung erforderlich ist, kann jeder Netzwerkbenutzer diese Schwachstelle ausnutzen.
Der Angriffsvektor ist netzwerkbasiert (Network), was bedeutet, dass der Exploit ohne lokalen Zugriff durchführbar ist. Mit dem CVSS-Score von 7.5 wird dies als High-Severity-Schwachstelle klassifiziert.
Empfohlene Massnahmen
- Sofortiges Update: Aktualisieren Sie auf GitLab 18.10.8, 18.11.5 oder 19.0.2 oder höher
- Netzwerk-Segmentierung: Beschränken Sie den Zugriff auf die GitLab-API durch Firewall-Regeln
- Rate Limiting: Implementieren Sie Rate-Limiting für API-Anfragen zum Schutz vor DoS-Angriffen
- Monitoring: Beobachten Sie Logs auf ungewöhnliche API-Anfragemuster
- Backup-Strategie: Sicherstellen, dass Backups vorhanden sind vor dem Update
Bewertung
Schweregrad: High (CVSS 7.5)
Angriffsvektor: Network
Authentifizierung: Nicht erforderlich
Patch-Status: Verfügbar
Diese Schwachstelle sollte als kritisch eingestuft und unverzüglich behoben werden, da sie einfach auszunutzen ist und verfügbare Patches existieren.
„`