unh00k3d/cve-2026-85706تحليل السبب الجذري، ومختبر Docker معرّض للثغرة، ونصوص PoC للثغرة CVE-2026-85706، وهي قراءة ملفات عشوائية دون مصادقة في GitLab عبر تباين في المحلل بين Workhorse/Puma.
CVSS 10.0 · بدون مصادقة · مستغلة فعليًا (CISA KEV)
يسمح اختلاف في تحليل المسارات بين GitLab Workhorse (وكيل عكسي بلغة Go) وPuma/Grape
(بلغة Ruby) لمهاجم غير مُصادَق بتجاوز عملية تسليم الرفع المُسرَّعة في Workhorse والوصول
إلى ثلاث نقاط نهاية للرفع مع file.path يتحكم به المهاجم، مما يؤدي إلى قراءة ملفات
عشوائية على مضيف GitLab.
ترميز حرف واحد من files كـ %66iles يجعل مسار الرفع في Workhorse يفشل في المطابقة (فهو
يطابق على المسار المُرمَّز) بينما يقوم Rails بفك ترميزه والعودة إلى المعالج الحقيقي (فهو
يوجّه على المسار المُفكَّك). يثق المعالج بمعامل file.path الخام الذي كان من المفترض أن
يستبدله Workhorse — لذا يُقرأ file.path=/etc/passwd من القرص دون أي بيانات اعتماد.
POST /api/v4/projects/1/repository/%66iles/x?file=&file.path=/etc/passwd&file.size=1
^^^^^^ Workhorse misses -> raw file.path survives to Rails
| الإصدار | |
|---|---|
| المتأثر | CE/EE 18.7 → 19.1.8، 19.2 → 19.2.6، 19.3 → 19.3.2 |
| المُصلَّح | 19.1.8 / 19.2.6 / 19.3.2 (2026-09-10) |
| المسار | المحتويات |
|---|---|
docs/ANALYSIS.md | تحليل كامل للسبب الجذري — اختلاف المحلِّل، ورمزَي JWT في Workhorse، وخلل الثقة بـ file.path الخام، وفرق التصحيح، وقناة تسريب الأخطاء المنعكسة. تم التحليل مقابل الكود المصدري الحقيقي (v19.3.1-ee مقابل v19.3.2-ee). |
lab/ | مختبر قابل للاستغلال قائم على Docker (gitlab-ce:19.3.1-ce.0) + تعليمات التشغيل. |
poc/ | detect.sh (أداة كشف وجود غير مُدمِّرة) وexploit.sh (قراءة ملفات عبر الأخطاء المنعكسة). هدف واحد، مقيّد بالتصريح. |
لست على دراية بالبنية الداخلية لـ GitLab؟ إليك ما تفعله كل طبقة — بالترتيب الذي يمر به الطلب
عبرها. يوجد معجم أعمق بالمفاهيم الأساسية في
docs/ANALYSIS.md §0.
Internet
│
▼
┌────────┐ ┌───────────┐ ┌────────┐ ┌──────────────────────┐
│ NGINX │────▶│ Workhorse │────▶│ Puma │────▶│ Grape / Rails app │
│(proxy) │ │ (Go) │ │ (Ruby) │ │ (Ruby) │
└────────┘ └───────────┘ └────────┘ └──────────────────────┘
| المكوّن | ما هو |
|---|---|
| NGINX | الوكيل العكسي الخارجي. يُنهي TLS، ويقدّم الملفات الثابتة، ويُمرّر كل ما تبقّى إلى الداخل. غير متورط مباشرةً في هذه الثغرة. |
| Workhorse | وكيل عكسي بلغة Go خاص بـ GitLab. مهمته الأساسية تخفيف العمل الذي يكون Ruby بطيئًا فيه — خاصةً بثّ عمليات الرفع الكبيرة. بالنسبة لنقاط نهاية الرفع، يقوم Workhorse بتخزين الجسم مؤقتًا في ملف، وتوقيع JWT، وإعادة كتابة file.path بحيث لا يرى Ruby أبدًا بايتات الرفع الخام. كما يضع JWT باسم Gitlab-Workhorse-Api-Request لكل طلب على كل طلب يُمرّره (مُثبتًا أن "هذا جاء عبر الوكيل"، وليس أن "هذا المستخدم مُصادَق"). |
| Puma | خادم تطبيق Ruby الذي يشغّل تطبيق Rails. يستقبل الطلبات من Workhorse، ويشغّل الوسائط (Rack)، ويوزّعها على الموجّه. |
| Rack | طبقة واجهة خادم الويب في Ruby. تتعامل وسائط Rack مع تحليل سلسلة الاستعلام، وإدارة الجلسات، والأهم هنا — التحقق من JWT الرفع الخاص بـ Workhorse وبناء كائنات UploadedFile. الدالة Rack::Utils.parse_nested_query هي التي تُسرّب رسائل خطئها محتوى الملفات في هذا الاستغلال. |
| Grape | إطار عمل REST API يستخدمه GitLab لجميع نقاط النهاية /api/v4/*. يوفّر تعريفات المسارات ومرشّحات قبلية مثل require_gitlab_workhorse! (فحص الوكيل) وauthenticate! (فحص هوية المستخدم). يعمل داخل Rails، على Puma، خلف Workhorse — لذا يرى مسار URL المُفكَّك. |
| Rails | إطار الويب الشامل (Ruby on Rails). GitLab هو تطبيق Rails متكامل — النماذج والخدمات والوسائط كلها تعمل هنا داخل Puma. |
تقع الثغرة في الفجوة بين Workhorse (الذي يطابق المسارات على المسار المُرمَّز) وGrape/Puma (الذين يوجّهان على المسار المُفكَّك). انظر أدناه.
r.URL.EscapedPath() (المُرمَّز)؛
بينما يوجّه Puma/Grape على المسار المُفكَّك. %66iles ≠ التعبير النمطي files بالنسبة لـ Workhorse، لكنه
يُفكَّك إلى files بالنسبة لـ Rails.file.path إلى مسار مؤقت موقّع، ولم يضع
ترويسة Gitlab-Workhorse-Multipart-Fields — لكنه لا يزال يمرّر الطلب (مع
JWT صالح باسم Gitlab-Workhorse-Api-Request).authenticate!، وكان المعالج
يقرأ params['file.path'] مباشرةً (سلسلة المهاجم) بدلًا من params[:file] UploadedFile
المُتحقَّق منه من Workhorse والمقيّد بالمسار.Rack::Utils.parse_nested_query
("invalid %-encoding (<file bytes>)") — تعكس الاستجابة بايتات الملف حتى أول % غير صالح.يضيف التصحيح authenticate!، ويبدّل إلى UploadedFile المُتحقَّق منه، ويتوقف عن
عكس e.message. انظر docs/ANALYSIS.md §5.
# 1. Stand up the vulnerable lab (see lab/README.md for details)
cd lab && docker compose up -d # wait ~5 min for GitLab to become healthy
# 2. Non-destructive detection
../poc/detect.sh http://localhost:8929
# 3. File-read PoC against a file you're authorized to read on your own lab
../poc/exploit.sh http://localhost:8929 /var/opt/gitlab/gitlab-rails/etc/gitlab.yml
نُشر هذا لأغراض دفاعية وتعليمية: فهم ثغرة CVE مُعلنة ومُصلَّحة ومُدرجة في قائمة CISA KEV، واكتشافها، وتصحيحها. السكربتات هنا أحادية الهدف وتتطلب منك تمرير الهدف صراحةً.
localhost. لا توجّهه إلى مضيفين تابعين لجهات خارجية.إذا كنت تشغّل GitLab، فقم بالترقية إلى إصدار مُصلَّح — فهذا هو العلاج الحقيقي الوحيد.
gitlab-org/gitlab @ v19.3.1-ee مقابل v19.3.2-eeMIT — التحليل وكود PoC فقط. GitLab علامة تجارية لشركة GitLab Inc.؛ هذا المستودع غير تابع لشركة GitLab Inc. ولا مُعتمد منها.