-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in GitLab Community Edition en Enterprise Edition
Advisory ID     : NCSC-2026-0168
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-1402, CVE-2026-2601, CVE-2026-4868,
                  CVE-2026-5296, CVE-2026-6713, CVE-2026-8716
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Authorization Bypass Through User-Controlled Key
                  Use of Incorrectly-Resolved Name or Reference
                  Allocation of Resources Without Limits or Throttling
                  Missing Authorization
                  Incorrect Authorization
Uitgiftedatum   : 20260528
Toepassing      : GitLab GitLab
Versie(s)       :
Platform(s)     :

Beschrijving
   GitLab heeft meerdere kwetsbaarheden verholpen in GitLab Community
   Edition en Enterprise Edition, specifiek in versies 12.7 tot voor
   18.10.7, 18.11 tot voor 18.11.4, en 19.0 tot voor 19.0.1.

   De kwetsbaarheden betreffen verschillende aspecten van authenticatie,
   autorisatie en validatie binnen GitLab. Een denial of service kan
   worden veroorzaakt door onvoldoende validatie, waarbij een
   geauthenticeerde gebruiker de beschikbaarheid van de dienst kan
   verstoren. Daarnaast kunnen gebruikers met developer-permissies
   ongeautoriseerd toegang krijgen tot gevoelige deploymentdata door
   onjuiste autorisatiecontroles. Verder is er een probleem met onjuiste
   gebruikersidentiteitsresolutie, waardoor een geauthenticeerde
   gebruiker Duo AI-workflows kan activeren alsof hij een andere
   gebruiker is, wat leidt tot identiteitsvervalsing binnen deze
   workflows. Ook kunnen developer-rollen flowbeperkingen omzeilen die
   op groepsniveau zijn ingesteld, wat de toegangscontrole en workflow
   governance beïnvloedt. Een andere kwetsbaarheid maakt het mogelijk
   voor onbevoegde gebruikers om private projecten te enumereren, wat
   kan leiden tot blootstelling van gevoelige projectinformatie. Ten
   slotte kunnen geauthenticeerde gebruikers toegang krijgen tot
   continuous integration (CI) data die niet voor hen bedoeld is, door
   een fout in de toegangscontrole voor CI-data.
   De kwetsbaarheid met kenmerk CVE-2026-2710 wordt wel genoemd in de
   releasenotes van GitLab, maar is ingetrokken en heeft geen verdere
   impact.

Mogelijke oplossingen
   GitLab heeft updates uitgebracht in de genoemde versies om de diverse
   kwetsbaarheden te verhelpen door validatie- en autorisatielogica te
   corrigeren en de gebruikersidentiteitsresolutie te verbeteren. Zie
   bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://about.gitlab.com/releases/2026/05/27/patch-release-
      gitlab-19-0-1-released/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=1vdF
-----END PGP SIGNATURE-----