CISA Alarm: GitLab stellt Zehntausende von Instanzen vor und fordert sofortige CVE-2021-39935 SSRF Patch

Die United States Agency for Infrastructure and Cybersecurity (CISA) hat ein Ultimatum gegeben: Bundesagenturen müssen ihre GitLab-Instanzen für eine Sicherheitslücke, die vor Jahren korrigiert wurde, aber jetzt aktiv in realen Umgebungen genutzt werden. Dies ist ein SSRF (Server-Side Request Forgery) Typ Ausfall bekannt als CVE-2021-39935, die GitLab ursprünglich im Dezember 2021 gelöst.

In dieser Korrektur erklärte GitLab, dass das Problem die CI Lint API beeinflusste, das Tool, das es erlaubt, CI / CD-Pipelines zu validieren und zu simulieren, und dass in bestimmten Einstellungen - wenn Benutzerregistrierung beschränkt war - externe Benutzer ohne Privilegien Anfragen vom Server ausführen konnten. Der ursprüngliche technische Hinweis ist im Sicherheitshinweis von GitLab vom 20. Dezember 2021 erhältlich: GitLab Security Release (06-12-2021) und die Details des EQO finden Sie in der NVD-Datenbank: CVE-2021-39935 (NVD).

Was die Alarme neu entfacht hat, ist, dass die CISA diese Verwundbarkeit in ihren Katalog bekannter und ausgebeuteter Schwachstellen in der realen Welt aufgenommen hat und eine Frist für die Umsetzung von Patches durch die Bundesbehörden auferlegt hat: drei Wochen seit der Anmeldung, mit einer Frist vom 24. Februar 2026, gemäß der verbindlichen operativen Richtlinie BOD 22-01. Die CISA-Nachricht ist klar: Diese Fehler bleiben ein häufiges Gateway für schädliche Schauspieler und erfordern sofortige Aufmerksamkeit. Die Aufnahme im CISA-Katalog ist hier verfügbar: CISA - CVE-2021-39935 Alarm, und die öffentliche Liste der ausgenutzten Schwachstellen ist in: Known Exploited Schwachstellen Katalog. Die Richtlinie, die Maßnahmen erfordert, kann auch auf der CISA-Website auf BOD 22-01 überprüft werden: Bindung Betriebsrichtlinie 22-01.

Über den Bundesrahmen hinaus hat die CISA Privatunternehmen und Organisationen aufgefordert, die Mediation zu priorisieren, weil die Exposition real und quantifizierbar ist. Die Shodan angeschlossene Geräte-Suchmaschine zeigt Zehntausende von Instanzen mit GitLabs öffentlich zugänglichem Fußabdruck: mehr als 49.000 Ergebnisse und fast 27.000 Antworten standardmäßig in Port 443, so Shodan öffentliche Recherchen. GitLab Suche in Shodan und Ergebnisse in Port 443.

Es ist leicht zu erkennen, warum die Priorität hoch ist: GitLab ist eine sehr weit verbreitete Plattform der Entwicklung. Das Unternehmen erklärt zehn Millionen Nutzer und eine wichtige Präsenz bei großen Unternehmen, so dass eine Schwachstelle in seinem Management-Bereich und CI / CD hat Potenzial für massive Auswirkungen. Weitere Informationen zu GitLabs Präsenz in der Branche finden Sie auf der Unternehmensseite: Über GitLab.

Was sollen technische und Sicherheitsbeamte tun? Der erste Schritt ist offensichtlich und dringend: die korrigierten Versionen von GitLab nach den eigenen Anweisungen des Herstellers zu aktualisieren. Ist das Update nicht sofort, offizielle Minderung anwenden, den Zugang zu exponierten APIs einschränken und die öffentliche Exposition minimieren sind vorübergehende Maßnahmen erforderlich. Es ist auch angebracht, Aufzeichnungen zu prüfen, die möglicherweise beeinträchtigten Anmeldeinformationen zu drehen und Firewall-Regeln und Zugriffskontrollen zu überprüfen, um zu verhindern, dass interne Dienste Zwangsanfragen von exponierten Komponenten erhalten.

In der Praxis kann dies dazu führen, dass der öffentliche Zugriff auf die CI Lint API deaktiviert wird, wenn nicht unbedingt erforderlich, die Bereitstellung von weißen IP-Listen, die eine verbesserte Authentifizierung auf Verwaltungspanelen und die Überwachung ungewöhnlicher Verkehrsmuster und Pipeline-Ausführungen. Erkennt ein Team verdächtige Aktivität und kann den Ausfall nicht abmildern, ist die verantwortliche Option, die betroffene Instanz vorübergehend zu stoppen, um die Korrektur anzuwenden oder sich auf eine sichere Alternative zu bewegen.

Die Entstehung von effektiven Exploits gegen einen korrigierten Defekt vor Jahren erinnert an eine klassische Lektion in der Cybersicherheit: die Korrekturen sind nur bei Anwendung wirksam. Eine gepatchte Verwundbarkeit bleibt gefährlich, solange nicht verpflegte Anlagen vorhanden sind. Der Druck von CISA auf Bundesunternehmen will diese Lücke reduzieren, aber die Verantwortung liegt auch bei Systemmanagern und externen Lieferanten, um ihre Entwicklungs- und kontinuierliche Lieferumgebungen auf dem neuesten Stand zu halten.

Schließlich ist es angebracht, diese Episode in einem breiteren Kontext zu platzieren: In dieser Woche hat die CISA mehrere Warnungen ausgegeben und Patches für andere kritische Fehler auf dem Feld ausgebracht. Für Sicherheitsausrüstung bedeutet dies, das Patch-Management zu priorisieren, exponierte Vermögenswerte zu identifizieren und Prozesse zu etablieren, die die Zeit zwischen der Veröffentlichung eines Patches und seiner effektiven Bereitstellung verkürzen.

Wenn Sie die offiziellen Quellen in diesem Artikel lesen möchten, sind hier die wichtigsten Links: GitLabs Anmerkung zur Korrektur ( GitLab - Sicherheit), die Registrierung des EVC im NVD ( NVD - CVE-2021-39935), die CISA-Benachrichtigung, die Sicherheitslücke in den Katalog einschließt ( CISA - Alarm (03-02-2026)), die öffentliche Liste der ausgebeuteten Schwachstellen ( KEV Katalog) und Blick auf die Shodan-Ausstellung ( Shodan - GitLab)

Die endgültige Empfehlung ist einfach: Vertrauen Sie nicht, dass ein altes Patch nicht mehr relevant ist. Wenn Ihre Organisation GitLab betreibt, überprüfen Sie die Versionen und wenden Sie die Korrekturen so schnell wie möglich an. Industrie- und Regierungsbehörden tun es, jetzt geht es um den Rest.