GitLab Tambal Celah Bypass 2FA dan Bug DoS Tingkat Tinggi

GitLab merilis pembaruan keamanan untuk menutup celah tingkat tinggi yang memungkinkan bypass autentikasi dua faktor (2FA) serta beberapa kerentanan denial-of-service (DoS) pada platform pengembangan perangkat lunaknya. Kerentanan ini berdampak pada GitLab Community Edition (CE) dan Enterprise Edition (EE).

Bypass 2FA Berisiko Tinggi

Kerentanan bypass 2FA dilacak sebagai CVE-2026-0723. Akar masalahnya berasal dari kelemahan unchecked return value pada layanan autentikasi GitLab. Dalam kondisi tertentu, penyerang yang mengetahui ID akun target dapat mengirimkan respons perangkat palsu untuk melewati lapisan 2FA.

GitLab menjelaskan bahwa isu ini berpotensi memungkinkan pihak dengan pengetahuan awal terhadap credential ID korban untuk menghindari mekanisme perlindungan 2FA, sehingga meningkatkan risiko kompromi akun.

Dua Bug DoS Tingkat Tinggi

Selain bypass 2FA, GitLab juga menambal dua kerentanan DoS tingkat tinggi pada CE/EE:

• CVE-2025-13927: Penyerang tanpa autentikasi dapat memicu DoS dengan mengirim permintaan berformat khusus berisi data autentikasi yang rusak.
• CVE-2025-13928: Validasi otorisasi API yang keliru dapat dieksploitasi untuk menyebabkan gangguan layanan.

Kedua celah ini memungkinkan pelaku mengganggu ketersediaan layanan GitLab melalui permintaan terstruktur yang disengaja.

Kerentanan DoS Tingkat Menengah

GitLab turut memperbaiki dua kerentanan DoS tingkat menengah:

• CVE-2025-13335: Dokumen Wiki berformat tidak valid dapat melewati deteksi siklus dan memicu DoS.
• CVE-2026-1102: Permintaan autentikasi SSH berformat salah yang dikirim berulang kali dapat menyebabkan gangguan layanan.

Versi Perbaikan dan Imbauan Pembaruan

Untuk mengatasi seluruh isu di atas, GitLab merilis versi 18.8.2, 18.7.2, dan 18.6.4 untuk CE dan EE. Administrator self-managed sangat dianjurkan segera melakukan pembaruan ke salah satu versi tersebut. GitLab mengonfirmasi bahwa GitLab.com telah menjalankan versi yang ditambal, sementara pelanggan GitLab Dedicated tidak perlu mengambil tindakan tambahan.

Paparan di Internet dan Konteks Ancaman

Pemantauan independen menunjukkan paparan yang signifikan: Shadowserver melacak hampir 6.000 instance GitLab CE yang terbuka ke internet, sementara Shodan menemukan lebih dari 45.000 perangkat dengan sidik GitLab. Dengan skala adopsi GitLab—lebih dari 30 juta pengguna terdaftar dan digunakan oleh lebih dari 50% perusahaan Fortune 100—ketertinggalan pembaruan berpotensi berdampak luas.

Sebelumnya, pada Juni 2025, GitLab juga menambal celah pengambilalihan akun dan masalah autentikasi tingkat tinggi, menegaskan pentingnya siklus pembaruan yang disiplin.