Betroffen ist die Entwicklungsplattform GitLab in den Ausführungen Community Edition und Enterprise Edition. Der Fehler liegt in der Verarbeitung regulärer Ausdrücke innerhalb einer CI/CD-Konfiguration, also jener Datei, die automatisierte Build- und Auslieferungsabläufe steuert. Reicht ein angemeldeter Benutzer einen besonders präparierten regulären Ausdruck ein, kommt es beim Auswerten zu einem sogenannten Double-Free: Ein bereits freigegebener Speicherbereich wird ein zweites Mal freigegeben. Diese Speicherverwaltungsfehler lassen sich unter bestimmten Bedingungen so steuern, dass der Angreifer eigenen Programmcode auf dem GitLab-Server ausführt. Voraussetzung ist ein gültiges Benutzerkonto; besondere Administratorrechte sind nicht nötig. Da der Server typischerweise Quellcode, Zugangsdaten für Build-Prozesse und Verbindungen zu Produktionsumgebungen bündelt, kann eine erfolgreiche Ausnutzung weit über die Plattform selbst hinaus wirken. Der Hersteller hat den Fehler in gepflegten Ausgabezweigen behoben.