NCSC-2026-0161 [1.00] [M/H] Kwetsbaarheden verholpen in GitLab door GitLab Inc.
GitLab Inc. heeft meerdere kwetsbaarheden verholpen in GitLab Community Edition (CE) en Enterprise Edition (EE) in diverse versies, met name in releases van versie 8.3 tot en met 18.11.3. De kwetsbaarheden betreffen verschillende componenten en functionaliteiten binnen GitLab, waaronder de Jira-integratie, container registry, virtual registry upstreams, merge request approval policies, debugging symbol downloads, analytics dashboards, package management, issue tracking, project- en groepslidmaatschapsbeheer, en API inputvalidatie. Aanvallers kunnen onder meer: - Authenticeerde gebruikers kunne
Prioriteit & onderbouwing
Prioriteit: Laag
Monitoren
Laag (35/100): monitoren. Zwaarst wegend: betrouwbaarheid van het signaal en gemeentelijke relevantie.
laag
- Technische ernst (severity): Genormaliseerde ernst 'low'; geen CVSS-score beschikbaar.
laag
- Geen exploit bekend: Er is geen exploit of actief misbruik bekend.
midden
- Gemeentelijke relevantie: Relevantiescore 30/100 uit de relevantie-engine (module 5).
midden
- Technische ernst: Threat Score 20/100 x gewicht 25%.
- Exploitatie: Exploit Score 10/100 x gewicht 25%.
- Gemeentelijke relevantie: Relevantiescore 30/100 x gewicht 22%.
- Betrouwbaarheid van het signaal: Confidence 'confirmed' x gewicht 12%.
- Blootstellingskans: Geschatte blootstelling 30% x gewicht 10%.
- Betrouwbaarheid van de bron: Bronbetrouwbaarheid 95% x gewicht 6%.
De priority_score is de Action Urgency Score: een gewogen combinatie van de technische ernst, de exploitatie en de gemeentelijke relevantie.
Toelichting
GitLab Inc. heeft meerdere kwetsbaarheden verholpen in GitLab Community Edition (CE) en Enterprise Edition (EE) in diverse versies, met name in releases van versie 8.3 tot en met 18.11.3. De kwetsbaarheden betreffen verschillende componenten en functionaliteiten binnen GitLab, waaronder de Jira-integratie, container registry, virtual registry upstreams, merge request approval policies, debugging symbol downloads, analytics dashboards, package management, issue tracking, project- en groepslidmaatschapsbeheer, en API inputvalidatie. Aanvallers kunnen onder meer: - Authenticeerde gebruikers kunnen Jira-issues buiten hun projecttoegang bekijken door onvoldoende toegangscontrole. - Ongeauthenticeerde gebruikers kunnen zonder CSRF-bescherming ongeautoriseerde Jira-subscripties aanmaken. - Ongeauthenticeerde gebruikers kunnen door onvoldoende inputvalidatie een denial-of-service veroorzaken via speciaal opgemaakte verzoeken of uploads. - Authenticeerde gebruikers met ontwikkelaarsrechten kunnen beschermde container registry tags verwijderen en package protection regels omzeilen. - Authenticeerde gebruikers kunnen merge request goedkeuringsvereisten omzeilen door het verwijderen van approval rules. - Ongeautoriseerde toegang tot interne hosts is mogelijk via virtual registry upstreams door onvoldoende validatie. - Cross-site scripting (XSS) aanvallen zijn mogelijk door onvoldoende inputsanitatie in analytics dashboards, e-mail notificaties en andere gebruikersinvoervelden. - OAuth tokens met read_api scope kunnen misbruikt worden om issues in private projecten aan te maken en te becommentariëren. - Authenticeerde gebruikers met Guest-permissies kunnen toegang krijgen tot projectissues die beperkt zouden moeten zijn. - Ongeautoriseerde gebruikers kunnen private groepslidmaatschappen enumereren. Deze kwetsbaarheden zijn aanwezig in meerdere opeenvolgende versies van GitLab CE en EE, wat wijst op terugkerende problemen in toegangscontrole, inputvalidatie en autorisatie binnen het platform.
Onderbouwing van de classificatie
Categorie 'ddos' op basis van trefwoord 'denial-of-service'. Severity 'low' bepaald op basis van: geen severity-signalen gevonden, standaard 'low'. Confidence 'confirmed': officiële bron (NCSC Security Advisories). Herkende leveranciers/producten: Atlassian.
Gemeentelijke relevantie
Deze dreiging scoort 30/100 voor de gemeentelijke relevantie. Meegewogen: bevestiging door een officiële bron en impact op identity of Microsoft 365. Geraakte processen: Microsoft 365 en identity, Website en publiekscommunicatie, Telefonie en klantcontactcentrum.
Bestuurlijke duiding
Deze dreiging heeft een beperkte gemeentelijke relevantie. Een aanval op de bereikbaarheid raakt direct de online dienstverlening aan inwoners en ondernemers. Reguliere opvolging door ICT-beheer en de ISO volstaat; bestuurlijke betrokkenheid is op dit moment niet nodig.
Geraakte processen
Geraakte technologie
Betrokken rollen
CISO · ISO · SOC · ICT beheer · Proceseigenaar
Operationele acties
- Schakel de scrubbing- of anti-DDoS-dienst in en toets de drempelwaarden.
- Monitor de capaciteit van de internetkoppeling en kritieke publieksdiensten.
- Houd een statuspagina en alternatief contactkanaal gereed.
Concrete stappen voor ICT-beheer en het securityteam.
Aanbevolen acties
- Activeer of toets de anti-DDoS-maatregelen.
- Maak afspraken met de hosting- en netwerkleveranciers.
- Bereid een communicatiescenario voor bij uitval.
Dit zijn algemene handelingsperspectieven. Stem de opvolging af op de eigen omgeving en het ISMS van uw gemeente.
Kenmerken
- Ernst
- Laag
- Categorie
- DDoS
- Zekerheid
- Bevestigd
- Status
- Verrijkt
- CVE's
- Geen
- Prioriteitsscore
- 35 / 100 · Laag
- Bron
- NCSC Security Advisories
- Gepubliceerd
- 15 mei 2026