مختبر التحقق من CVE-2026-85706 GitLab

يبني هذا الدليل مختبر GitLab محليًا ومعزولًا لاختبار دفاعي مُصرَّح به لـ CVE-2026-85706. تؤثر الثغرة على واجهة برمجة تطبيقات repository-commits في GitLab CE/EE من حيث حصر المسار وفرض المصادقة. يستخدم ضيف Ubuntu كامل.

السلامة والنطاق

• استخدمه فقط على جهاز تملكه أو لديك تصريح صريح باختباره.
• الملف الشخصي المعرّض للثغرة غير مُرقَّع عن قصد. لا تعرّضه لشبكة محلية (LAN)، أو VPN، أو عنوان سحابي، أو الإنترنت العام.
• يقوم Vagrantfile بإعادة توجيه GitLab فقط إلى 127.0.0.1:8443 على المضيف افتراضيًا (قابل للتخصيص عبر LAB_HTTPS_PORT) ويستخدم عنوان ضيف خاص بالمضيف فقط.
• الفحوصات المضمّنة هي فحوصات صحة ومصادقة غير مدمّرة. وهي لا تتضمن حمولة قراءة ملفات، أو سلسلة استغلال، أو استمرارية، أو منطق تهرب.
• دمّر المختبر عند الانتهاء باستخدام ./scripts/teardown-vm.sh.

المتطلبات الأساسية

• VirtualBox 7.x و Vagrant 2.x
• ما لا يقل عن 8 جيجابايت من الذاكرة العشوائية المتاحة للجهاز الافتراضي
• curl و openssl و bash
• ما يقارب 12 جيجابايت من مساحة القرص الحرة

البناء والتشغيل

cd ~/gitlab-cve-lab
./scripts/setup-vm.sh

يقوم سكربت الإعداد بإنشاء جهاز افتراضي، وتثبيت GitLab CE مباشرة من مستودع الحزم الرسمي، وينتظر نقطة نهاية الصحة. افتح المختبر على https://127.0.0.1:8443 (سيحذّر المتصفح من الشهادة المحلية). استخدم LAB_HTTPS_PORT و LAB_SSH_PORT عندما تكون القيم الافتراضية غير متاحة.

الملف الشخصي الافتراضي هو vulnerable، مثبّت على GitLab CE 19.3.1-ce.0، وهو ضمن النطاق المتأثر المنشور لـ CVE-2026-85706. لبناء ملف التعريف المُرقَّع للمقارنة، شغّل:

LAB_PROFILE=patched ./scripts/setup-vm.sh

يستخدم الملف الشخصي المُرقَّع GitLab CE 19.3.2-ce.0. إذا لم يعد مستودع الحزم يوفّر ذلك الإصدار بالتحديد، فاضبط GITLAB_VERSION على إصدار مُرقَّع مقدَّم من المورّد قبل تشغيل الإعداد.

التحقق

./scripts/smoke-test-vm.sh

يتحقق اختبار الدخان من صحة الجهاز الافتراضي، وإمكانية الوصول إلى المنفذ المحلي فقط، وأن الطلب غير المُصادَق عليه إلى واجهة برمجة تطبيقات repository-commits لا يُعامَل كعملية قراءة ملفات مُصادَق عليها. وهو لا يحاول عن قصد استرجاع ملفات عشوائية.

لإجراء اختبار مُصادَق عليه مُتحكَّم به، أنشئ مشروعًا خاصًا قابلًا للتخلص منه في واجهة GitLab، وأضف إيداع اختبار، واستخدم فقط المسارات داخل ذلك المشروع. سجّل الطوابع الزمنية ورموز حالة HTTP، وليس محتويات الملفات الحساسة.

الإزالة

./scripts/teardown-vm.sh

يقوم هذا بإيقاف وتدمير الجهاز الافتراضي، والقرص المرتبط به، والشهادة المُولَّدة له.

المراجع

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-85706
• إشعارات GitLab الأمنية: https://about.gitlab.com/releases/categories/releases/
• كتالوج CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

مواد التمرين

• البنية
• أهداف التعلّم
• دليل البناء
• جولة آمنة
• تمرين الطالب
• دليل المدرّب
• مفتاح الإجابات
• تمرين المراقبة
• تمرين المعالجة
• قالب الأدلة
• قائمة التحقق
• معيار التقييم
• استكشاف الأخطاء وإصلاحها
• قالب التقرير
• بيان التبعيات
• سياسة الأمان
• أهداف إضافية
• أسئلة التمرين
• مصفوفة الإصدارات
• سيناريو وهمي: Project Lantern

الترخيص

هذا المشروع متاح بموجب رخصة MIT. متطلبات الاستخدام المسؤول للمختبر المعرّض للثغرة موثّقة في اتفاقية الترخيص وسياسة الأمان.