Betroffen ist GitLab in den Ausgaben Community Edition und Enterprise Edition. Der Fehler liegt in der Verarbeitung regulärer Ausdrücke, wie sie in CI/CD-Konfigurationen – also den Anweisungen für automatisierte Bau- und Auslieferungsabläufe – angegeben werden können. Beim Kompilieren eines gezielt präparierten regulären Ausdrucks kommt es zu einem Ganzzahlüberlauf: Ein interner Zahlenwert überschreitet seinen zulässigen Bereich, wodurch die Speicherverarbeitung aus dem Tritt gerät. Unter bestimmten Bedingungen lässt sich das ausnutzen, um beliebigen Code direkt auf dem GitLab-Server auszuführen. Voraussetzung ist ein angemeldetes Benutzerkonto; ein Angriff ohne Zugangsdaten ist nicht möglich. Da ein GitLab-Server typischerweise Quellcode, Zugangsschlüssel und Automatisierungsprozesse zahlreicher Projekte bündelt, kann eine erfolgreiche Codeausführung weit über die einzelne Instanz hinaus wirken und die gesamte Entwicklungs- und Auslieferungskette gefährden.