GitLab heeft meerdere GitLab kwetsbaarheden verholpen in updates voor versies vóór 19.0.5, 19.1.3 en 19.2.1. Het NCSC-bericht beschrijft een breed palet aan problemen, van onjuiste toegangscontrole en invoervalidatie tot een raceconditie en onvoldoende throttling. Daardoor konden aanvallers mogelijkheden krijgen voor ongeautoriseerde informatieontsluiting, het omzeilen van beveiligingsmechanismen of het verstoren van de beschikbaarheid.
Omdat GitLab direct raakt aan CI/CD-processen, governance en projectbeheer, is dit advies vooral relevant voor teams die werken met beschermde branches, merge request workflows en AI-assisted code review. Hieronder lees je wat er mis kon gaan en wat je nu kunt doen.
Welke GitLab kwetsbaarheden zijn er verholpen?
De kwetsbaarheden die GitLab heeft gepatcht, betroffen meerdere onderdelen binnen GitLab. Veel issues draaiden om autorisatie en invoerverwerking. Daardoor konden (bepaalde) gebruikers of processen meer zien of doen dan volgens de bedoelde rechten.
- Onjuiste toegangcontrole: geauthenticeerde gebruikers met beperkte rechten konden testrapporten inzien die eigenlijk alleen voor andere rollen beschikbaar waren.
- Onvoldoende validatie van gebruikersinvoer: geauthenticeerde gebruikers konden CI/CD pipeline schema’s van andere gebruikers wijzigen.
- Fouten bij verwerking van upstream verzoeken in virtuele registries: dit kon leiden tot ongeautoriseerde informatielekken.
- Raceconditie: het was mogelijk om de goedkeuringsworkflow te omzeilen en code direct te mergen in beschermde branches.
- Onjuiste autorisatie bij interne verzoekverwerking: ontwikkelaars konden toegang krijgen tot informatie buiten hun autorisatie.
- Onvoldoende resource throttling: merge request discussies konden misbruikt worden door niet-geauthenticeerde gebruikers voor een denial-of-service.
- Onjuiste autorisatie bij samenwerking in merge requests: gebruikers konden blijven committen nadat hun toegang was ingetrokken.
- Onjuiste autorisatie rond publieke merge requests: niet-geauthenticeerde gebruikers konden titels van vertrouwelijke issues zien.
Daarnaast noemt het NCSC-bericht ook beveiligingsproblemen met AI-assisted code review, cross-site scripting (XSS) en token- en API-autorisatie. Daarmee wordt duidelijk dat het advies niet alleen over één kwetsbaar onderdeel gaat, maar over meerdere controles die samenwerken binnen het platform.
Impact: van informatielekken tot privilege-escalatie
De kans op misbruik werd ingeschat als medium en de mogelijke schade als medium. De beschreven scenario’s kunnen echter verschillende schadevormen veroorzaken, waaronder:
- Ongeautoriseerde informatieontsluiting (bijvoorbeeld testrapporten, issue-informatie en projectinformatie).
- Manipulatie van workflows, zoals het omzeilen van verplichte goedkeuringen en het wijzigen van pipeline-onderdelen.
- Omzeilen van beveiligingsmechanismen door fouten in race-afhandeling en autorisatielogica.
- Denial-of-service door onvoldoende throttling bij het verwerken van discussies.
- Privilege escalatie binnen de GitLab-omgeving door ontbrekende of foutieve toegangscontroles.
De hoogste genoemde CVSS-basisscore is 8.5. Dit duidt erop dat meerdere varianten van deze problemen impactvol kunnen zijn zodra ze in de praktijk goed te misbruiken zijn.
Kwetsbaarheden die je ook terugziet in bekende risicocategorieën
In het NCSC-advies worden verschillende CWEs genoemd. Voor IT-teams is dat nuttig omdat het helpt om de aard van de bug sneller te herkennen, ook wanneer je alleen een generieke beschrijving krijgt.
- CWE-79 (XSS): er was onvoldoende neutralisatie/afhandeling van input, waardoor XSS via speciaal opgemaakte URLs mogelijk was.
- CWE-201 (gevoelige informatie in uitgaande data): fouten konden leiden tot het inbrengen van gevoelige informatie in verzonden data.
- CWE-367 (raceconditie): een TOCTOU-achtige raceconditie kon goedkeuringsstappen ondermijnen.
- CWE-522 (onvoldoende bescherming van credentials): autorisatie- of token-gerelateerde mechanismen konden zwak blijken.
- CWE-770 (resource throttling ontbreekt): onvoldoende begrenzing van resources bij merge request discussies.
Ook noemt het advies een lijst met CVE’s (onder andere CVE-2026-4672, CVE-2026-12436, CVE-2026-16553, CVE-2026-13113 en meer). Of jouw omgeving precies alle varianten raakt hangt af van je GitLab-versie en gebruikte functies, zoals protected branches en AI-assisted code review.
Wat moet je nu doen? Patchen en rechten verifiëren
GitLab heeft updates uitgebracht om deze problemen te verhelpen. Concreet gaat het om installaties voor versies 19.0.5, 19.1.3 en 19.2.1 (inclusief GitLab Enterprise Edition binnen die reeksen). De kernactie is dus helder: update je GitLab naar een versie die niet meer onder deze grenzen valt.
1) Upgrade naar een veilige GitLab-versie
Plan de upgrade op basis van je releasepad en downtime-vensters. Zorg dat je de update uitvoert op alle relevante omgevingen: productie én ondersteunende omgevingen waar developers, CI/CD of integraties mee werken.
Laat dit niet uitsluitend aan één team over. Omdat GitLab fungeert als schakel in je software supply chain, moeten beveiliging en platformbeheer samen afstemmen.
2) Controleer autorisaties rondom workflows
Een belangrijk deel van de risico’s kwam voort uit autorisatieproblemen: beschermde branches, merge request samenwerking, interne verzoekverwerking en het blijven committen na intrekking van toegang. Na de update is het verstandig om te verifiëren dat:
- rechten voor protected branches correct zijn ingericht;
- goedkeuringsworkflows niet kunnen worden omzeild door uitzonderlijke timing of racecondities;
- intrekkingen van rechten direct doorwerken in merge request samenwerking.
3) Let extra op functies met invoer en AI-assisted code review
Omdat er ook melding is van XSS via opgemaakte URLs en van problemen met onbetrouwbare inhoud in AI-assisted code review, is het verstandig om aandacht te geven aan hoe je platform omgaat met gebruikersinput en aanvullende AI-functionaliteit.
Test hierbij niet alleen “werkt het”, maar ook: worden relevante rechten gerespecteerd en wordt projectinformatie niet onbedoeld zichtbaar?
Vergelijkbare patch-updates: leer van recente waarschuwingen
Als je kijkt naar andere securityadviezen die recent voorbij zijn gekomen op platformen en tooling, zie je hetzelfde patroon terug: kwetsbaarheden worden verholpen door updates, maar het daadwerkelijke voordeel komt pas wanneer teams het patchproces serieus nemen én de gevolgen voor rechten en workflows afchecken.
Bijvoorbeeld:
- Bij JFrog Artifactory kwetsbaarheden: patch nu gaat het eveneens om risico’s rond software supply chain componenten.
- Voor VMware fixes: kritieke auth bypass en VM-escapes zie je hoe autorisatie- en toegangsproblemen tot grotere impact kunnen leiden.
- Ook bij post-breach aanval: wat hackers doen binnen wordt duidelijk waarom “alleen patchen” niet genoeg is als je niet ook nadenkt over wat een aanvaller binnen je omgeving kan bereiken.
Gebruik deze adviezen als extra motivatie om je eigen GitLab-omgeving te beoordelen: welke functies gebruik je, welke rollen zijn actief, en hoe snel kun je updates doorvoeren?
Conclusie
GitLab heeft meerdere GitLab kwetsbaarheden verholpen met updates die bedoeld zijn voor versies vóór 19.0.5, 19.1.3 en 19.2.1. De issues raken onder andere toegangscontrole, invoervalidatie, virtuele registries, protected branch workflows, AI-assisted code review en XSS. Daardoor konden aanvallers ongeautoriseerde informatie zien, processen manipuleren, beveiligingsstappen omzeilen of een denial-of-service veroorzaken.
De actie is daarom praktisch: patch naar een veilige versie en controleer na de upgrade of autorisaties en workflowmechanismen zich gedragen zoals je organisatie verwacht.
Bron: https://advisories.ncsc.nl/csaf/v2/2026/ncsc-2026-0270.json