CVE‑2026‑85706 – Инструментарий для неаутентифицированного чтения файлов в GitLab

⚠️ ТОЛЬКО ЭТИЧНОЕ ИСПОЛЬЗОВАНИЕ – АВТОРИЗОВАННОЕ ТЕСТИРОВАНИЕ БЕЗОПАСНОСТИ
Этот репозиторий предоставляет инструменты только для авторизованных специалистов по безопасности, blue teams и пентестеров.
Несанкционированный доступ к компьютерным системам является незаконным в соответствии с CFAA (США), Computer Misuse Act (Великобритания), TCK 243/244 (Турция) и аналогичными законами по всему миру.

---

📖 Обзор уязвимости

CVE‑2026‑85706 — это критическая уязвимость неаутентифицированного произвольного чтения локальных файлов в self-managed GitLab CE/EE (версии 18.7 – 19.3.1), позволяющая неаутентифицированному злоумышленнику прочитать любой файл на сервере с помощью одного HTTP-запроса к API коммитов.

Как это работает

1. Несоответствие парсинга Workhorse и Puma – GitLab Workhorse проверяет путь запроса до percent-декодирования, тогда как Puma/Rails декодирует его после. Это позволяет обойти проверки безопасности Workhorse с помощью закодированных символов, таких как %63ommits.
2. Открытие файла до аутентификации – эндпоинт /api/v4/projects/{id}/repository/commits открывает файл, указанный в file.path, до проверки аутентификации.
3. Эхо содержимого через ошибку – если файл содержит недопустимую %-последовательность, Rack возвращает содержимое в теле ответа 400 Bad Request, раскрывая полное содержимое.
4. Воздействие – секреты, токены, SSH-ключи, переменные CI/CD, учётные данные баз данных и боковое перемещение внутри инфраструктуры GitLab. Немедленно обновитесь!

Уязвимые версии

• 18.7.0 – 19.1.7 – уязвимы
• 19.2.0 – 19.2.5 – уязвимы
• 19.3.0 – 19.3.1 – уязвимы

Патч

• Обновитесь до 19.1.8, 19.2.6 или 19.3.2 или новее.
• Если обновление невозможно, ограничьте сетевой доступ к GitLab (никогда не выставляйте его в интернет) и смените все токены/секреты в качестве временного обходного решения.

---

🧰 Инструменты

Инструмент	Назначение	Целевой пользователь
exploit.py	Полный боевой инструментарий с неаутентифицированным чтением файлов, перечислением добычи, извлечением admin-токена, массовым сканированием, интерактивной оболочкой, ротацией прокси, режимом скрытности и отчётами в нескольких форматах.	Red teams / авторизованные пентестеры
safechecker.py	Неинтрузивный чекер уязвимости, который определяет версию GitLab, проверяет подверженность, аудирует заголовки безопасности и оценивает риск без чтения каких-либо файлов. Генерирует отчёты JSON/CSV/HTML.	Blue teams / аудиторы безопасности

---

📊 Сравнение возможностей

Возможность	exploit.py	safechecker.py
Обнаружение уязвимости	✅	✅
Определение версии	✅	✅
Неаутентифицированное чтение файлов	✅	❌
Перечисление добычи	✅	❌
Извлечение admin-токена	✅	❌
Интерактивная оболочка	✅	❌
Массовое сканирование (многопоточное)	✅	✅
Аудит заголовков безопасности	❌	✅
Проверка TLS/сертификата	❌	✅
Сопоставление с MITRE ATT&CK	✅	✅
Поддержка прокси	✅	✅
Ротация прокси	✅	❌
Ротация User‑Agent (OPSEC)	✅	❌
Джиттер / задержка (OPSEC)	✅	❌
Адаптивный ограничитель скорости	✅	✅
Режим скрытности	✅	❌
Имперсонация TLS через curl_cffi	✅	❌
Неинтрузивный (безопасный) режим	❌	✅
Вывод JSON / JSONL / CSV / HTML	✅	✅
Вывод в SQLite БД	✅	❌
Уведомления через webhook	✅	✅
Diff с предыдущим сканированием	✅	✅
Очистка логов (анти-форензика)	✅	❌
Пользовательский User‑Agent	✅	✅
Управление проверкой SSL	✅	✅

---

🎯 Сводка по сценариям использования

Сценарий	Рекомендуемый инструмент
Blue Team – проверка, уязвим ли ваш GitLab	safechecker.py
Аудит безопасности – неинтрузивная оценка уязвимости	safechecker.py
Red Team – авторизованное тестирование на проникновение с полной эксплуатацией	exploit.py
Bug Bounty – ответственное раскрытие	safechecker.py
Массовое сканирование – проверка нескольких целей на уязвимость	exploit.py (только обнаружение)
Реагирование на инциденты – проверка, скомпрометированы ли системы	safechecker.py

---

⚙️ Установка

git clone https://github.com/tc4dy/CVE-2026-85706-PoC-Toolkit
cd CVE-2026-85706-PoC-Toolkit
pip install -r requirements.txt

requirements.txt

requests
urllib3
curl_cffi
rich
pyyaml

📋 Параметры

Параметры exploit.py