أصدرت GitLab تحديثات أمنية عاجلة لمعالجة عدة ثغرات في GitLab Community Edition وEnterprise Edition، أبرزها ثغرة حرجة بدرجة CVSS 10.0 تحمل المعرّف CVE-2026-85706. الثغرة تؤثر في واجهة repository commits API وقد تسمح، في ظروف معينة، لمهاجم غير مصادق بقراءة ملفات من خادم GitLab.
تكتسب الثغرة خطورتها من أنها لا تتطلب حسابًا أو تفاعلًا من المستخدم، كما أن خوادم GitLab غالبًا ما تحتوي على شيفرات مصدرية، إعدادات CI/CD، مفاتيح وصول، أسرار تطبيقات، وبيانات اعتماد مرتبطة بسلاسل البناء والنشر.
لمحة سريعة
البند | التفاصيل |
|---|---|
المعرّف | CVE-2026-85706 |
الدرجة | 10.0 — حرجة |
النوع | Path Traversal / قراءة ملفات غير مصرح بها |
المكوّن المتأثر | repository commits API |
المنتجات | GitLab CE وGitLab EE ذاتية الإدارة |
الإصدارات المتأثرة | من 18.7 قبل 19.1.8، ومن 19.2 قبل 19.2.6، ومن 19.3 قبل 19.3.2 |
الإصدارات المصححة | 19.1.8، 19.2.6، 19.3.2 |
حالة GitLab.com | مُحدّث بالفعل وفق GitLab |
الأولوية | تصحيح فوري، خصوصًا للخوادم المعرضة للإنترنت |
تفاصيل الثغرة
وفقًا لـ GitLab، تنتج الثغرة عن عدم حصر مسارات الملفات بشكل صحيح مع غياب فرض المصادقة في جزء متأثر من واجهة repository commits API. هذا الخلل قد يسمح بطلبات تتجاوز المسار المتوقع للملفات داخل المستودع وتصل إلى ملفات على الخادم نفسه.
عمليًا، قد يؤدي الاستغلال الناجح إلى كشف ملفات حساسة يستطيع حساب خدمة GitLab الوصول إليها، مثل ملفات الإعدادات، السجلات، أسرار التطبيق، مفاتيح الربط، أو بيانات اعتماد مستخدمة في بيئة التطوير والنشر.
الإصدارات المتأثرة والإصلاحات
تؤثر CVE-2026-85706 على GitLab CE/EE ضمن النطاقات التالية. استخدم قنوات GitLab الرسمية للتحديث، وخطط للتوقف المطلوب إذا كانت بيئتك أحادية العقدة:
النطاق المتأثر | أول إصدار مصحح | التوجيه |
|---|---|---|
جميع الإصدارات من 18.7 قبل 19.1.8 | 19.1.8 | حدّث فورًا إذا كنت على فرع 19.1 أو إصدار 18.7+ غير مصحح |
جميع الإصدارات من 19.2 قبل 19.2.6 | 19.2.6 | حدّث إلى 19.2.6 أو أحدث إصدار مدعوم |
جميع الإصدارات من 19.3 قبل 19.3.2 | 19.3.2 | حدّث إلى 19.3.2 أو أحدث إصدار مدعوم |
بحسب GitLab، فإن GitLab.com يعمل بالفعل بالإصدارات المصححة، كما أن عملاء GitLab Dedicated لا يحتاجون إلى إجراء إضافي. أما مستخدمو GitLab CE/EE ذاتي الإدارة فهم الفئة الأعلى خطورة ويجب عليهم التحديث فورًا.
محاولات استطلاع بعد الإفصاح
أفادت شركة watchTowr بأنها رصدت محاولات استطلاع في البرية ضد الثغرة بعد نشر التصحيحات والتفاصيل الأولية. ويعني ذلك أن بعض الجهات بدأت بالفعل في البحث عن خوادم GitLab غير المصححة، وقد تتطور هذه المحاولات بسرعة إلى استغلال عشوائي واسع النطاق.
بناءً على تاريخ ثغرات GitLab الحرجة الأخيرة، فإن انتقال هذه الثغرة إلى استغلال عشوائي واسع قد لا يكون بعيدًا، والوقت المتاح للمدافعين محدود.
هذا النمط شائع مع الثغرات ذات المسار الواضح للاستغلال، خصوصًا عندما تكون في منتجات DevOps معرّضة للإنترنت وتحتوي على أسرار وسلاسل توريد برمجية حساسة.
لماذا تمثل الثغرة خطرًا كبيرًا؟
لا تكمن الخطورة فقط في قراءة الملفات، بل في نوعية البيانات التي قد تكون متاحة داخل خادم GitLab. أي كشف لملفات إعدادات GitLab أو CI/CD قد يمنح المهاجم معلومات تساعده على:
- الوصول إلى مستودعات الشيفرة المصدرية أو معرفة هيكل المشاريع الداخلية.
- سرقة أسرار CI/CD أو رموز الوصول أو مفاتيح الربط بالخدمات الخارجية.
- استهداف أنظمة البناء والنشر downstream عبر بيانات اعتماد مسروقة.
- تنفيذ هجمات سلسلة توريد عبر العبث بمسارات البناء أو مخرجات النشر.
- التحرك الجانبي نحو خدمات داخلية مرتبطة بمنصة GitLab.
ثغرات أخرى ضمن التحديث
إلى جانب CVE-2026-85706، عالجت GitLab ثغرات مهمة أخرى في الإصدارات نفسها، منها:
CVE | الدرجة | الوصف المختصر |
|---|---|---|
CVE-2026-87719 | 9.9 | ثغرة Insecure Deserialization في GraphQL subscription serializer ضمن GitLab EE قد تكشف إعدادات Advanced Search وبيانات اعتماد حساسة لمستخدم مصادق يمتلك وصول Duo Chat. |
CVE-2026-88765 | 8.5 | Buffer Overflow في Unicode conversion wrapper ضمن GitLab EE قد يسمح بتنفيذ كود عن بُعد عند استيراد Git project export مُعدّ خصيصًا. |
CVE-2026-79708 | 8.5 | مشكلة في Scheduled Pipeline Execution Policy test قد تسمح لمطورين بالوصول إلى متغيرات CI/CD محمية في ظروف معينة. |
إجراءات عاجلة للمدافعين
- جرد جميع خوادم GitLab ذاتية الإدارة في الإنتاج، الاختبار، التطوير، وبيئات التعافي من الكوارث.
- ترقية الإصدارات المتأثرة إلى 19.1.8 أو 19.2.6 أو 19.3.2، أو إصدار أحدث مدعوم.
- تقييد الوصول العام مؤقتًا للخوادم المعرضة للإنترنت باستخدام VPN أو قوائم سماح IP إذا تعذر التصحيح الفوري.
- مراجعة السجلات للبحث عن طلبات غير اعتيادية إلى واجهة commits API.
- تدوير الأسرار والرموز الحساسة إذا ظهرت مؤشرات وصول غير مصرح به أو إذا كان الخادم مكشوفًا خلال فترة الخطر.
- مراقبة أنشطة CI/CD بحثًا عن تغييرات غير معتادة في المتغيرات، runners، webhooks، مفاتيح النشر، أو إعدادات المشاريع.
ما الذي تبحث عنه في السجلات؟
تنصح watchTowr بالبحث عن طلبات HTTP POST إلى مسار commits API، خصوصًا عندما تظهر معاملات مرتبطة بالملفات مثل file.path أو file.Path.
/api/v4/projects/{id}/repository/commits/
file.path
file.Pathراجع أيضًا الطلبات القادمة من عناوين IP غير معروفة، الطلبات المتكررة ضد مشاريع عامة، أو أي مؤشرات على محاولة قراءة ملفات خارج نطاق المستودع المتوقع. لا توجد مؤشرات اختراق ثابتة وموثوقة منشورة حتى الآن، لذلك يجب التعامل مع السجلات والسلوكيات غير الطبيعية كجزء من تحقيق أوسع.
مثال أوامر فحص أولية
grep -R "/api/v4/projects/.*/repository/commits" /var/log/gitlab/ 2>/dev/null | grep -Ei "file\.path|file\.Path"
# راجع أيضًا سجلات nginx أو workhorse بحسب بنية التثبيت
grep -R "repository/commits" /var/log/gitlab/nginx/ /var/log/gitlab/gitlab-workhorse/ 2>/dev/nullالخاتمة
تمثل CVE-2026-85706 واحدة من أخطر ثغرات GitLab الحديثة بسبب درجتها القصوى، وسهولة مسار الهجوم، وإمكانية تنفيذها دون مصادقة في بيئات معينة. ومع بدء محاولات الاستطلاع في البرية، يجب على المؤسسات التي تدير GitLab ذاتيًا التحرك بسرعة لتطبيق التصحيحات، مراجعة السجلات، وتقليل التعرض الخارجي قدر الإمكان.
