Sicherheitsforscher haben die Ursache der kritischen GitLab-Sicherheitslücken der letzten Wochen analysiert und sind auf fundamentale Fehler in der Regex-Engine der Programmiersprache Ruby gestossen. Drei behobene Fehler in dieser Komponente waren direkt verantwortlich für die ernsten Sicherheitsprobleme.
Reguläre Ausdrücke (Regex) sind in der Softwareentwicklung allgegenwärtig. Sie werden verwendet, um Eingaben zu validieren, Daten zu filtern und Muster zu erkennen. In GitLab wurden Regex-Regeln unter anderem dafür eingesetzt, Sicherheitsrichtlinien durchzusetzen. Die Fehler in der Regex-Engine ermöglichten es Angreifern, diese Sicherheitsmassnamen zu umgehen.
Ein besonders bemerkenswerstes Detail ist, dass Standard-CVE-Scanner diese Sicherheitslücken nicht erkannt hätten. CVE-Scanner sind Werkzeuge, die automatisch bekannte Sicherheitslücken in installierten Softwarekomponenten identifizieren. Sie verlassen sich auf eine Datenbank bekannter Vulnerabilities und deren CVE-Nummern. Diese speziellen Fehler waren offenbar so subtil oder neu, dass sie nicht in diese Datenbanken aufgenommen worden waren, bis sie behoben wurden.
Dies unterstreicht eine wichtige Sicherheitslehre: Automated Vulnerability Scanning ist ein wichtiges Werkzeug, aber kein Allheilmittel. Professionelle Sicherheit erfordert mehrschichtige Ansätze, einschliesslich Code-Reviews, Penetration Testing und Monitoring von Sicherheitsmeldungen aus verschiedenen Quellen. Für KMU bedeutet das, nicht blind auf automatisierte Tools zu vertrauen, sondern auch manuelles Monitoring und Threat Intelligence von Sicherheitsprofis einzubeziehen.