CVE-2021-22175
GitLab Server-Side Request Forgery (SSRF) Vulnerability
Beschreibung
CVE-2021-22175 ist eine Server-Side Request Forgery (SSRF)-Schwachstelle in GitLab, die alle Versionen ab 10.5 betrifft. Wenn interne Netzwerkanfragen fuer Webhooks aktiviert sind, kann ein nicht authentifizierter Angreifer diese Schwachstelle ausnutzen, um serverseitige Anfragen an beliebige interne Netzwerkressourcen zu senden. Besonders kritisch ist, dass die Schwachstelle auch dann ausnutzbar ist, wenn die Benutzerregistrierung eingeschraenkt oder deaktiviert wurde. Die CISA hat CVE-2021-22175 in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was auf eine aktive Ausnutzung in freier Wildbahn hinweist. Mit einem CVSS-Score von 6.8 (MEDIUM) und einem extrem hohen EPSS-Score von 73,49 % (98,78. Perzentil) besteht eine sehr hohe Wahrscheinlichkeit, dass diese Schwachstelle aktiv ausgenutzt wird. Die Faelligkeit fuer die Behebung gemaess CISA-Richtlinie ist der 11. Maerz 2026.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| gitlab | gitlab | >= 10.5.0, < 13.6.7; >= 13.7.0, < 13.7.7; >= 13.8.0, < 13.8.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://gitlab.com/gitlab-org/cves/-/blob/master/2021/CVE-2021-22175.json(Vendor Advisory)
- https://gitlab.com/gitlab-org/gitlab/-/issues/294178(Exploit, Issue Tracking, Vendor Advisory)
- https://hackerone.com/reports/1059596(Permissions Required, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22175(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
Die Schwachstelle wird als CWE-918 (Server-Side Request Forgery) klassifiziert. Bei einer SSRF-Schwachstelle kann ein Angreifer den Server dazu bringen, HTTP-Anfragen an beliebige Ziele zu senden, die vom Server aus erreichbar sind. Im Fall von CVE-2021-22175 nutzt der Angreifer die Webhook-Funktionalitaet von GitLab aus, um den Server als Proxy fuer Anfragen an interne Dienste zu missbrauchen. Da der GitLab-Server typischerweise Zugang zu internen Netzwerken hat, die von aussen nicht erreichbar sind, kann ein Angreifer ueber diese Schwachstelle auf interne Dienste, Metadaten-Endpunkte von Cloud-Providern oder andere geschuetzte Ressourcen zugreifen.
Auswirkungsanalyse
Vertraulichkeit (Hoch): Die primaere Auswirkung dieser Schwachstelle liegt im Bereich der Vertraulichkeit. Ein Angreifer kann ueber die SSRF-Schwachstelle auf interne Netzwerkressourcen zugreifen, die normalerweise nicht von aussen erreichbar sind. Dies umfasst interne APIs, Datenbanken, Cloud-Metadaten-Endpunkte (z.B. AWS EC2 Instance Metadata unter 169.254.169.254) und andere sensible Dienste. Der CVSS-Vektor bestaetigt dies mit C:H (Confidentiality Impact: High).
Scope (Changed): Der Scope-Wert S:C (Changed) bedeutet, dass die Schwachstelle Auswirkungen ueber die verwundbare Komponente hinaus hat. Der GitLab-Server fungiert als Sprungbrett, ueber das ein Angreifer Systeme erreichen kann, die eigentlich durch Netzwerksegmentierung geschuetzt sein sollten.
Angriffsvektor: Der Angriff erfolgt ueber das Netzwerk (AV:N), erfordert jedoch eine hohe Angriffskomplexitaet (AC:H), was darauf hindeutet, dass bestimmte Voraussetzungen erfuellt sein muessen, insbesondere die Aktivierung interner Webhook-Anfragen. Es sind keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N) erforderlich.
Organisatorische Auswirkungen: In Unternehmensumgebungen, in denen GitLab als zentrale DevOps-Plattform eingesetzt wird, kann diese Schwachstelle zur Offenlegung von Quellcode, CI/CD-Geheimnissen, API-Schluesseln und internen Infrastrukturinformationen fuehren.
Exploit-Reifegrad
CVE-2021-22175 weist eine bestaetigt hohe Exploit-Reife auf. Die Aufnahme in den CISA KEV-Katalog belegt, dass die Schwachstelle aktiv in realen Angriffen ausgenutzt wird. Der EPSS-Score von 73,49 % (98,78. Perzentil) zeigt, dass die Wahrscheinlichkeit einer Ausnutzung innerhalb der naechsten 30 Tage extrem hoch ist und die Schwachstelle damit zu den am wahrscheinlichsten ausgenutzten Sicherheitsluecken weltweit gehoert.
Ausnutzungsbedingungen: Die Schwachstelle kann ohne Authentifizierung und ohne Benutzerinteraktion ausgenutzt werden, was die Einstiegshuerde fuer Angreifer erheblich senkt. Die einzige Voraussetzung ist, dass die Option fuer interne Netzwerkanfragen bei Webhooks aktiviert sein muss, was in vielen Unternehmensinstallationen der Fall ist.
Ransomware-Verbindung: Ob CVE-2021-22175 in Ransomware-Kampagnen eingesetzt wird, ist derzeit nicht bekannt (Status: Unknown). Die SSRF-Natur der Schwachstelle macht sie jedoch zu einem wertvollen Werkzeug in der Erkundungsphase von Angriffen.
Behebung
Sofortiges Update durchfuehren: Aktualisieren Sie GitLab umgehend auf eine der gepatchten Versionen: 13.6.7, 13.7.7 oder 13.8.4 (oder neuer). Dies ist die einzige vollstaendige Behebung der Schwachstelle. Angesichts der bestaetigt aktiven Ausnutzung und der CISA-Frist bis zum 11. Maerz 2026 sollte dieses Update hoechste Prioritaet haben.
Interne Webhook-Anfragen deaktivieren: Als sofortige Risikominderung sollten Sie in den GitLab-Administrationseinstellungen unter Admin Area > Settings > Network > Outbound requests die Option fuer Anfragen an das lokale Netzwerk durch Webhooks und Services deaktivieren, sofern diese nicht zwingend benoetigt werden.
Netzwerksegmentierung pruefen: Stellen Sie sicher, dass der GitLab-Server keinen unnoetigen Zugriff auf interne Dienste hat. Implementieren Sie eine strikte Netzwerksegmentierung und beschraenken Sie ausgehende Verbindungen vom GitLab-Server auf das absolut notwendige Minimum.
Monitoring einrichten: Ueberwachen Sie die Logs des GitLab-Servers auf ungewoehnliche ausgehende Anfragen, insbesondere an interne IP-Bereiche (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) und Cloud-Metadaten-Endpunkte (169.254.169.254). Implementieren Sie Alerting fuer verdaechtige Webhook-Konfigurationen.
Technische Details
Die Schwachstelle befindet sich in der Webhook-Funktionalitaet von GitLab. Webhooks ermoeglichen es, bei bestimmten Ereignissen (z.B. Push, Merge Request) HTTP-Anfragen an konfigurierte URLs zu senden. GitLab bietet eine Einstellung, die es erlaubt, Webhook-Anfragen auch an das lokale Netzwerk zu senden. Wenn diese Option aktiviert ist, kann ein Angreifer eine Webhook-URL konfigurieren, die auf interne Netzwerkressourcen zeigt.
Angriffsablauf: Der Angreifer erstellt oder manipuliert einen Webhook mit einer URL, die auf einen internen Dienst zeigt (z.B. http://169.254.169.254/latest/meta-data/ fuer AWS-Metadaten oder http://internal-service:8080/api/secrets). Wenn das zugehoerige Git-Ereignis ausgeloest wird, fuehrt der GitLab-Server die Anfrage im Kontext seines eigenen Netzwerks aus und gibt die Antwort an den Angreifer zurueck.
Betroffene Versionen: GitLab ab Version 10.5 bis vor 13.6.7, Version 13.7.0 bis vor 13.7.7 sowie Version 13.8.0 bis vor 13.8.4 sind betroffen. Dies umfasst sowohl GitLab Community Edition (CE) als auch Enterprise Edition (EE).
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N - Der Angriffsvektor ist netzwerkbasiert mit hoher Komplexitaet, erfordert keine Privilegien und keine Benutzerinteraktion. Der Scope ist geaendert (Zugriff auf Systeme ausserhalb der verwundbaren Komponente), mit hohem Vertraulichkeitsimpact, aber ohne Auswirkungen auf Integritaet oder Verfuegbarkeit.
Häufig gestellte Fragen
Ist CVE-2021-22175 auch ausnutzbar, wenn die Benutzerregistrierung deaktiviert ist?
Ja, die Schwachstelle kann auch dann ausgenutzt werden, wenn die Benutzerregistrierung eingeschraenkt oder vollstaendig deaktiviert ist. Der Angriffsvektor benoetigt keine Authentifizierung, was bedeutet, dass ein externer Angreifer ohne gueltige Zugangsdaten die SSRF-Schwachstelle ausloesen kann.
Welche GitLab-Versionen sind betroffen und welche sind sicher?
Alle GitLab-Versionen ab 10.5 sind betroffen. Sichere Versionen sind 13.6.7 und neuer, 13.7.7 und neuer sowie 13.8.4 und neuer. Wenn Sie eine aeltere Version einsetzen, sollten Sie umgehend auf mindestens eine dieser Patch-Versionen aktualisieren.
Warum ist diese Schwachstelle im CISA KEV-Katalog gelistet?
Die Aufnahme in den CISA KEV-Katalog bedeutet, dass diese Schwachstelle nachweislich in realen Cyberangriffen ausgenutzt wird. US-Bundesbehoerden sind verpflichtet, die Schwachstelle bis zum 11. Maerz 2026 zu beheben. Auch fuer nicht-staatliche Organisationen ist die KEV-Listung ein starkes Signal, die Behebung zu priorisieren.
Kann diese SSRF-Schwachstelle fuer mehr als nur Datendiebstahl genutzt werden?
Obwohl der CVSS-Vektor nur einen hohen Vertraulichkeitsimpact ausweist, kann eine SSRF-Schwachstelle in der Praxis als Sprungbrett fuer weitergehende Angriffe dienen. Ueber den Zugriff auf Cloud-Metadaten koennen beispielsweise temporaere Zugangsdaten erbeutet werden, die dann fuer weitergehende Kompromittierungen genutzt werden koennen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.