Die Erneuerung der Secrets ist abgeschlossen, und gitlab.lrz.de ist wieder verfügbar. Wie angekündigt war kein Zurücksetzen der Datenbank oder des Dateisystems erforderlich. Alle Repository-Daten und Metadaten (einschließlich Issues, Merge-Requests und Wiki-Einträgen) sind erhalten geblieben. Durch die Erneuerung der Geheimnisse wurden jedoch alle Arten von Tokens (persönliche Zugriffstokens, Projekt-Tokens, Gruppen-Tokens und Runner-Tokens) sowie CI/CD-Variablen und für Dienste von Drittanbietern gespeicherte Anmeldedaten ungültig.
Erforderliche Maßnahme: Bitte befolgen Sie die Anweisungen in unserer Dokumentation und unserer vorherigen Meldung, um die notwendigen Schritte durchzuführen und alle zugehörigen Integrationen und Verbindungen sowie die Zwei-Faktor-Authentifizierung (2FA) neu zu konfigurieren.
Wichtiger Hinweis: Obwohl GitLab wieder verfügbar ist, verhalten sich einige Funktionen möglicherweise noch nicht wie erwartet. Bitte melden Sie Probleme oder unerwartetes Verhalten, indem Sie ein Ticket beim LRZ-Service-Desk einreichen.
Hintergrundinformation:
Trotz umgehender Einspielung des Patches zur Schließung einer kritischen Sicherheitslücke (CVE-2026-110264) auf gitlab.lrz.de, mussten wir bei den nachfolgenden Analysen Ausnutzungsversuche und einzelne unautorisierte Zugriffe auf die Instanz feststellen.
Daher war es nötig, die Secrets zu erneuern, um gitlab.lrz.de wieder in einen zuverlässig unkompromittierten Stand zu versetzen.
Weitere Details dazu finden Sie in unserer vorhergehenden Meldung.
The secret renewal has been completed, and gitlab.lrz.de is available again. As announced, no database or file system reset was necessary. All repository data and metadata (including issues, merge requests, and wiki entries) have been preserved.
However, renewing the secrets has invalidated all types of tokens (Personal Access Tokens, Project Tokens, Group Tokens, and Runner Tokens), CI/CD variables and credentials stored for third-party services.
Action required: Please follow the instructions in our documentation to complete the necessary steps and reconfigure all related integrations and connections, as well as Two-Factor Authentication (2FA).
Important notice: Although GitLab is available again, some functionality may not yet be working as expected. We kindly ask you to report any problems or unexpected behavior by submitting a ticket to LRZ Service Desk.
Background Information: Despite immediately applying the patch to address a critical security vulnerability (CVE-2026-110264) for gitlab.lrz.de, our subsequent investigation revealed attempts to exploit the vulnerability and isolated instances of unauthorized access.
As a result we had to renew the secrets of our GitLab instance to restore the instance to a reliably uncompromised state.
For more details see previous entry.
Zuletzt aktualisiert: Di., 03.11.2026 18:07