CVE‑2026‑85706 – مجموعة أدوات قراءة الملفات غير المصادق عليها في GitLab

⚠️ للاستخدام الأخلاقي فقط – اختبار أمني مصرح به
يوفر هذا المستودع أدوات للمتخصصين الأمنيين المصرح لهم، والفرق الزرقاء، ومختبري الاختراق فقط.
الوصول غير المصرح به إلى أنظمة الحاسوب غير قانوني بموجب CFAA (الولايات المتحدة)، وقانون إساءة استخدام الحاسوب (المملكة المتحدة)، وTCK 243/244 (تركيا)، وقوانين مماثلة في جميع أنحاء العالم.

---

📖 نظرة عامة على الثغرة

CVE‑2026‑85706 هي ثغرة حرجة من نوع قراءة ملفات محلية عشوائية دون مصادقة في GitLab CE/EE ذاتية الإدارة (الإصدارات 18.7 حتى 19.3.1) تسمح لمهاجم غير مصادق عليه بقراءة أي ملف على الخادم عبر طلب HTTP واحد إلى واجهة برمجة تطبيقات الالتزامات (commits API).

كيف تعمل

1. عدم تطابق التحليل بين Workhorse وPuma – يتحقق GitLab Workhorse من مسار الطلب قبل فك ترميز النسبة المئوية، بينما يقوم Puma/Rails بفك ترميزه بعد ذلك. هذا يسمح بتجاوز فحوصات الأمان في Workhorse باستخدام أحرف مُرمَّزة مثل %63ommits.
2. فتح الملف قبل المصادقة – تفتح نقطة النهاية /api/v4/projects/{id}/repository/commits الملف المحدد في file.path قبل فرض المصادقة.
3. صدى المحتوى عبر الخطأ – إذا كان الملف يحتوي على تسلسل % غير صالح، يعيد Rack صدى المحتوى في جسم استجابة 400 Bad Request، مما يؤدي إلى تسريب المحتوى الكامل.
4. التأثير – الأسرار، والرموز المميزة، ومفاتيح SSH، ومتغيرات CI/CD، وبيانات اعتماد قواعد البيانات، والتحرك الجانبي داخل البنية التحتية لـ GitLab. قم بالترقية فورًا!

الإصدارات المتأثرة

• 18.7.0 – 19.1.7 – عرضة للثغرة
• 19.2.0 – 19.2.5 – عرضة للثغرة
• 19.3.0 – 19.3.1 – عرضة للثغرة

التصحيح

• قم بالترقية إلى 19.1.8، أو 19.2.6، أو 19.3.2 أو أحدث.
• إذا لم يكن الترقية ممكنًا، قم بتقييد الوصول الشبكي إلى GitLab (لا تعرضه أبدًا للإنترنت) وقم بتدوير جميع الرموز المميزة/الأسرار كحل مؤقت.

---

🧰 الأدوات

الأداة	الغرض	المستخدم المستهدف
exploit.py	مجموعة أدوات مسلحة كاملة مع قراءة الملفات دون مصادقة، وتعداد الغنائم، واستخراج رمز المسؤول المميز، والمسح الجماعي، وصدفة تفاعلية، وتدوير الوكيل، ووضع التخفي، وإعداد تقارير متعددة التنسيقات.	الفرق الحمراء / مختبري الاختراق المصرح لهم
safechecker.py	مدقق ثغرات غير تدخلي يكتشف إصدار GitLab، ويتحقق من التعرض، ويدقق رؤوس الأمان، ويقيّم المخاطر دون قراءة أي ملف. ينشئ تقارير JSON/CSV/HTML.	الفرق الزرقاء / مدققو الأمان

---

📊 مقارنة الميزات

الميزة	exploit.py	safechecker.py
اكتشاف الثغرة	✅	✅
اكتشاف الإصدار	✅	✅
قراءة الملفات دون مصادقة	✅	❌
تعداد الغنائم	✅	❌
استخراج رمز المسؤول المميز	✅	❌
صدفة تفاعلية	✅	❌
المسح الجماعي (متعدد الخيوط)	✅	✅
تدقيق رؤوس الأمان	❌	✅
فحص TLS/الشهادة	❌	✅
تعيين MITRE ATT&CK	✅	✅
دعم الوكيل	✅	✅
تدوير الوكيل	✅	❌
تدوير User‑Agent (OPSEC)	✅	❌
التذبذب / التأخير (OPSEC)	✅	❌
محدد معدل تكيفي	✅	✅
وضع التخفي	✅	❌
انتحال TLS عبر curl_cffi	✅	❌
وضع غير تدخلي (آمن)	❌	✅
إخراج JSON / JSONL / CSV / HTML	✅	✅
إخراج قاعدة بيانات SQLite	✅	❌
إشعار Webhook	✅	✅
الفرق مقابل المسح السابق	✅	✅
تنظيف السجلات (مضاد للطب الشرعي)	✅	❌
User‑Agent مخصص	✅	✅
التحكم في التحقق من SSL	✅	✅

---

🎯 ملخص حالات الاستخدام

السيناريو	الأداة الموصى بها
الفريق الأزرق – التحقق مما إذا كان GitLab الخاص بك عرضة للثغرة	safechecker.py
التدقيق الأمني – تقييم ثغرات غير تدخلي	safechecker.py
الفريق الأحمر – اختبار اختراق مصرح به مع استغلال كامل	exploit.py
مكافأة الثغرات – اختبار الإفصاح المسؤول	safechecker.py
المسح الجماعي – فحص أهداف متعددة بحثًا عن الثغرة	exploit.py (كشف فقط)
الاستجابة للحوادث – التحقق مما إذا كانت الأنظمة مخترقة	safechecker.py

---

⚙️ التثبيت

git clone https://github.com/tc4dy/CVE-2026-85706-PoC-Toolkit
cd CVE-2026-85706-PoC-Toolkit
pip install -r requirements.txt

requirements.txt

requests
urllib3
curl_cffi
rich
pyyaml

📋 المعاملات

معاملات exploit.py

المعامل	الوصف
-u, --url	عنوان URL لهدف واحد (مثل https://gitlab.example.com)
-f, --file	ملف يحتوي على قائمة الأهداف (واحد في كل سطر)
--pipe	قراءة الأهداف من stdin (خط أنابيب subfinder/httpx)
--read	مسار (مسارات) مطلق لقراءته، مفصولة بفواصل
--wordlist	ملف يحتوي على مسارات لقراءتها (واحد في كل سطر)
--project-id	فرض معرف مشروع محدد
--max-projects	الحد الأقصى لمعرفات المشاريع للمحاولة (افتراضي: 8)
--auto	جمع ملفات GitLab عالية القيمة تلقائيًا
--loot	نفس --auto
--shell	صدفة تفاعلية بعد الاستغلال
--force	المسح حتى لو كانت بصمة GitLab ضعيفة
-t, --threads	الخيوط للأهداف المتعددة (افتراضي: 8)
--timeout	مهلة HTTP (افتراضي: 15 ثانية)
--retry	عدد إعادة المحاولات (افتراضي: 3)
--retry-on	رموز HTTP لإعادة المحاولة (افتراضي: 429,500,502,503,504)
--proxy	وكيل HTTP/HTTPS
--proxy-list	ملف يحتوي على وكلاء للتدوير
--proxy-rotate	استراتيجية التدوير: round-robin، random، sticky
--jitter	إضافة تذبذب عشوائي بين الطلبات
--jitter-range	نطاق التذبذب الأدنى،الأقصى بالثواني (افتراضي: 0.1,2.0)
--delay	تأخير ثابت بين الطلبات
--stealth	تمكين وضع التخفي (تدوير UA + X-Forwarded-For)
--curl-cffi	استخدام curl_cffi لانتحال بصمة TLS
--user-agent-file	ملف يحتوي على سلاسل User-Agent
--max-body	الحد الأقصى لحجم جسم الاستجابة (0 = غير محدود)
--concurrent-per-host	الحد الأقصى للطلبات المتزامنة لكل مضيف
--rate-limit	الحد الأقصى للطلبات في الثانية (0 = غير محدود)
--exclude	مضيفون مفصولون بفواصل لاستبعادهم (أنماط glob)
--grep	إظهار التسريبات المطابقة للتعبير النمطي فقط
--resume	الاستئناف من ملف الحالة
--notify	عنوان URL للإشعار (slack:, discord:, telegram:)
--db	حفظ النتائج في قاعدة بيانات SQLite
--output-format	تنسيق الإخراج: json، jsonl، csv، html
-o, --output	مسار ملف الإخراج
-v, --verbose	إخراج مطوّل
-q, --quiet	وضع هادئ
--no-color	تعطيل الألوان
--no-banner	بدون لافتة
--config	ملف تكوين YAML/JSON
--dry-run	إظهار الخطة دون إجراء طلبات
--safe-mode	قراءة /etc/hostname فقط للتحقق
--timeout-profile	aggressive، normal، stealth
--mitre	تضمين تعيين MITRE ATT&CK
--fingerprint	بصمة GitLab مفصلة
--cve-check	التحقق من ثغرات CVE ذات الصلة
--json-schema	الإخراج مع مخطط JSON لـ SIEM
--progress	إظهار شريط التقدم (يتطلب rich)

معاملات safechecker.py