وصله امنیتی گیت‌لب برای آسیب‌پذیری بحرانی پیمایش مسیر (CVSS 10.0) در بحبوحه سوءاستفاده فعال از API کامیت‌ها

در ساعت ۰۶:۰۰ به وقت هماهنگ جهانی (UTC) در ۱۱ سپتامبر ۲۰۲۶، هانی‌پات‌های امنیتی تحت مدیریت شرکت اطلاعات تهدید watchTowr شروع به ثبت درخواست‌های خودکار HTTP POST کردند که به سمت یک نقطه پایانی (endpoint) خاص از API گیت‌لب هدایت می‌شدند. این ترافیک ورودی تلاشی برای ورود به سیستم یا حدس زدن رمز عبور نبود؛ در واقع، این کاوشگرها در حال آزمایش روشی تازه فاش‌شده بودند تا فایل‌های پیکربندی و کلیدهای SSH را مستقیماً از سیستم فایل زیرین سرور استخراج کنند.[3][6]

این فعالیت‌ها به دنبال انتشار اضطراری وصله‌های گیت‌لب در ۱۰ سپتامبر برای CVE-2026-85706 رخ داد؛ یک آسیب‌پذیری با بالاترین سطح شدت که امتیاز CVSS آن ۱۰٫۰ است. این نقص به یک مهاجم راه دور و بدون نیاز به احراز هویت اجازه می‌دهد تا فایل‌های دلخواه را از هر سرور خودمیزبان گیت‌لب، چه نسخه Community (CE) و چه نسخه Enterprise (EE) که حداقل میزبان یک پروژه عمومی است، بخواند.[2][4]

این آسیب‌پذیری در API کامیت‌های مخزن، و به‌طور دقیق‌تر در نقطه پایانی `/api/v4/projects/{id}/repository/commits` قرار دارد. طبق توصیه‌نامه امنیتی گیت‌لب، علت اصلی این مشکل ترکیبی از محدودسازی نامناسب مسیر و عدم اعمال بررسی‌های احراز هویت بر روی قابلیت‌های پردازش فایلِ تحت‌تاثیر است.[1][5]

در یک پیکربندی امن، این نقطه پایانی API باید تنها فایل‌هایی را برگرداند که در دایرکتوری در نظر گرفته‌شده برای مخزن قرار دارند. با این حال، با ارائه یک پارامتر دستکاری‌شده `file.path` که حاوی توالی‌های پیمایش دایرکتوری است، مهاجم می‌تواند برنامه را مجبور کند تا از ریشه مخزن خارج شده و به سایر فایل‌هایی که توسط فرآیند سرویس گیت‌لب قابل خواندن هستند، ارجاع دهد.[5][6]

از آنجا که این نقطه پایانی فاقد الزام احراز هویت بود، هر کسی در اینترنت می‌توانست این درخواست دستکاری‌شده را ارسال کند. جیک نات (Jake Knott)، رئیس بخش اطلاعات تهدید در watchTowr، با اشاره به سرعت تسلیحاتی شدن این نقص گفت: «این دومین مورد از یک آسیب‌پذیری با شدت بحرانی در گیت‌لب طی هفته‌های اخیر است.» او تایید کرد که مهاجمان تنها چند ساعت پس از انتشار وصله، توانسته‌اند این نقطه ضعف را با موفقیت مهندسی معکوس کنند.[2]

این در معرض خطر قرار گرفتن، به دلیل نقش گیت‌لب در چرخه حیات توسعه نرم‌افزار، به‌طور ویژه‌ای وخیم است. نمونه‌های خودمیزبان معمولاً متغیرهای یکپارچه‌سازی مداوم (CI)، اطلاعات هویتی پایگاه داده، توکن‌های استقرار و کد منبع اختصاصی را ذخیره می‌کنند. استخراج این اسرار، مواد لازم را برای به خطر انداختن محیط‌های تولیدی پایین‌دستی و زنجیره‌های تامین نرم‌افزار در اختیار مهاجمان قرار می‌دهد.[3][6]

با درک این خطر فوری، آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) در ۱۱ سپتامبر، CVE-2026-85706 را به فهرست آسیب‌پذیری‌های مورد سوءاستفاده شناخته‌شده خود اضافه کرد. تحت دستورالعمل عملیاتی الزام‌آور 26-04، CISA به تمامی آژانس‌های اجرایی غیرنظامی فدرال دستور داد تا اصلاحیه‌های ارائه‌شده توسط فروشنده را تا ۱۴ سپتامبر اعمال کنند.[2][5]

گیت‌لب این مشکل را در نسخه‌های ۱۹٫۳٫۲، ۱۹٫۲٫۶ و ۱۹٫۱٫۸ برطرف کرده است؛ مشکلی که استقرارهای نسخه ۱۸٫۷ به بعد را تحت تاثیر قرار می‌داد. این شرکت تایید کرد که محیط‌های ابری GitLab.com و GitLab Dedicated از قبل در برابر این سوءاستفاده محافظت شده بودند، در نتیجه این خطر صرفاً متوجه استقرارهای خودمیزبان و متصل به اینترنت است.[1][5]

تیم‌های امنیتی که از نمونه‌های خودمیزبان دفاع می‌کنند، باید فوراً سیستم‌های خود را ارتقا داده و تله‌متری وب‌سرور خود را بررسی کنند. مدافعان می‌توانند با اسکن کردن لاگ‌های پروکسی معکوس و فایروال برنامه‌های کاربردی وب به دنبال درخواست‌های HTTP POST به API کامیت‌ها که حاوی توالی‌های غیرمعمول پیمایش مسیر برای خروج از دایرکتوری‌های مورد انتظار هستند، تلاش‌های احتمالی برای سوءاستفاده را شناسایی کنند.[1][6]