Цей матеріал згенеровано за допомогою штучного інтелекту та опубліковано без попередньої перевірки людиною. Він може містити помилки і не є професійною консультацією. Повідомити про проблему: info@delionsoft.com.
GitLab виправив вразливість найвищого рівня серйозності в API комітів свого репозиторію, яка дозволяла неавторизованим зловмисникам зчитувати довільні файли, включаючи облікові дані та секретні відомості, з уразливого сервера. Згідно з первинним повідомленням, CISA додала CVE-2026-85706 до свого каталогу вразливостей, що активно експлуатуються, а сканування незахищених екземплярів було зафіксовано вже через день після випуску виправлення. Якщо ви використовуєте самостійно керований GitLab, це виправлення слід встановити того ж дня.
Що сталося
Уразливість пов’язана з відсутністю обов’язкової аутентифікації у поєднанні з неналежним обмеженням шляху в API комітів. На практиці це дозволяє довільно читати файли за допомогою одного HTTP-запиту без необхідності в наявності дійсного облікового запису. GitLab випустив виправлення для Community Edition та Enterprise Edition у версіях 19.3.2, 19.2.6 та 19.1 і рекомендував негайно оновити систему.
Через день після випуску виправлення компанія з безпеки watchTowr повідомила, що фіксує спроби виявлення цієї уразливості в Інтернеті та очікує, що незабаром почнеться її масове використання, зважаючи на те, як розвивалися події з попередніми помилками GitLab. Вона порадила фахівцям з безпеки перевірити журнали на наявність HTTP-запитів POST на шляхи /api/v4/projects/{id}/repository/commits/, що містять параметр file.path.
Того ж дня CISA внесла цю уразливість до списку CVE як таку, що активно експлуатується, і надала федеральним цивільним агентствам США три дні на усунення проблеми відповідно до Обов’язкової оперативної директиви 26-04. Цей термін є обов’язковим лише для федеральних органів, але CISA повторила свою звичну рекомендацію, що всі інші повинні надавати пріоритет пунктам із каталогу уразливостей, які вже експлуатуються. У звіті зазначається, що сама компанія GitLab не позначила цю уразливість як таку, що експлуатується в реальному середовищі. З кінця 2021 року CISA позначила чотири уразливості GitLab як такі, що експлуатуються.
Чому це важливо
Самохостована інстанція GitLab зазвичай є однією з найбільш чутливих систем, якими керує невелика команда інженерів. Вона містить вихідний код, конфігурацію CI/CD, ключі розгортання, облікові дані реєстру, токени доступу до хмари та часто дані клієнтів у тестових середовищах. Неавтентифіковане читання файлів на цьому хості — це не локальна проблема: це збір облікових даних, який може призвести до отримання доступу до хмарних облікових записів, виробничих баз даних та самого конвеєра релізів.
Економічні фактори також грають на користь зловмисників. Експлойт, що вимагає лише одного запиту, дуже легко автоматизувати в усьому просторі IPv4, тому час перебування в зоні ризику має більше значення, ніж розмір вашої організації чи її профіль. Особливо вразливими є команди, які відкривають доступ до GitLab в Інтернеті для зовнішніх підрядників або мобільних виконавців. Оскільки ця вразливість не вимагає введення облікових даних, MFA, SSO та списки дозволених IP-адрес на сторінках входу не забезпечують жодного захисту.
Що робити
- Негайно оновлюйте самостійно керований GitLab до версій 19.3.2, 19.2.6 або виправленої версії 19.1. GitLab.com та GitLab Dedicated управляються постачальником, тому переконайтеся у вашій моделі розгортання, перш ніж вважати, що ви захищені.
- Перегляньте журнали доступу на наявність POST-запитів до API комітів, що містять параметр
file.path, починаючи з періоду до дати випуску виправлення. Кожен такий запис слід розглядати як потенційне розкриття секретних даних. - Якщо ви були схильні до ризику та не встановили виправлення, вважайте, що будь-які дані, доступні для читання процесом GitLab, були скомпрометовані: змініть CI/CD-змінні, токени розгортання, токени реєстрації бігунів, SSH-ключі, облікові дані хмарних сервісів та будь-які секретні дані, що зберігаються в налаштуваннях проєкту.
- Якщо GitLab підключений до Інтернету без ділової необхідності, розмістіть його за VPN або зворотним проксі-сервером з автентифікацією та перевірте, які ще інструменти розробників є загальнодоступними.