Die Schwachstelle betrifft die Zwei-Faktor-Authentifizierung von GitLab in den Varianten Community Edition und Enterprise Edition. Fehlerhaft ist die Prüfung der Antworten, die ein registriertes Authentifizierungsgerät beim zweiten Anmeldeschritt zurückliefert: Die Anwendung akzeptiert manipulierte Geräteantworten, ohne deren Echtheit ausreichend zu verifizieren. Kennt ein Angreifer die Kennung des bei einem Opfer hinterlegten Authentifizierungsgeräts, kann er eine solche gefälschte Antwort einreichen und damit den zweiten Faktor umgehen. Der Schutz, der ein Konto auch dann absichern soll, wenn Benutzername und Passwort bereits bekannt sind, greift in diesem Fall nicht mehr. Betroffen sind alle Installationen, die die Zwei-Faktor-Authentifizierung mit Hardware- beziehungsweise Geräte-Token einsetzen; da GitLab Quellcode, Build-Prozesse und Zugangsdaten für Entwicklungsumgebungen verwaltet, wiegt ein unbefugter Kontozugriff hier besonders schwer.