CVE-2026-85706 — GitLab 未认证任意文件读取

CVSS 10.0 · 未认证 · 已被积极利用（CISA KEV）

GitLab Workhorse（Go 反向代理）与 Puma/Grape（Ruby）之间的解析器差异，使未认证攻击者能够绕过 Workhorse 的加速上传交接，并以攻击者可控的 file.path 访问三个上传端点，从而在 GitLab 主机上实现任意文件读取。

将 files 中的一个字符编码为 %66iles，会使 Workhorse 的上传路由无法匹配（它基于编码后的路径进行匹配），而 Rails 会将其解码回来并命中真正的处理器（它基于解码后的路径进行路由）。该处理器信任 Workhorse 本应覆盖的原始 file.path 参数——因此 file.path=/etc/passwd 会在无凭据的情况下从磁盘被读取。

POST /api/v4/projects/1/repository/%66iles/x?file=&file.path=/etc/passwd&file.size=1
                                   ^^^^^^  Workhorse 未匹配 -> 原始 file.path 存活至 Rails

受影响 / 已修复

本仓库内容

背景——GitLab 的请求流水线

不熟悉 GitLab 内部机制？以下是每一层的作用——按请求经过它们的顺序排列。包含关键概念的更深入术语表见 docs/ANALYSIS.md §0。

  Internet
     │
     ▼
 ┌────────┐     ┌───────────┐     ┌────────┐     ┌──────────────────────┐
 │ NGINX  │────▶│ Workhorse │────▶│  Puma  │────▶│  Grape / Rails app  │
 │(proxy) │     │   (Go)    │     │ (Ruby) │     │      (Ruby)         │
 └────────┘     └───────────┘     └────────┘     └──────────────────────┘

该漏洞存在于 Workhorse（基于编码后路径匹配路由）与 Grape/Puma（基于解码后路径路由）之间的间隙中。见下文。

机制简述

1. 解析器差异。 Workhorse 基于 r.URL.EscapedPath()（编码后）匹配路由；Puma/Grape 基于解码后的路径路由。对 Workhorse 而言 %66iles ≠ 正则 files，但对 Rails 而言会解码为 files。
2. 交接被跳过。 由于上传路由未匹配，Workhorse 从不将请求体缓冲到临时文件，从不将 file.path 重写为已签名的临时路径，也从不设置 Gitlab-Workhorse-Multipart-Fields 头——但它仍然代理该请求（带有有效的 Gitlab-Workhorse-Api-Request JWT）。
3. 缺少认证 + 原始参数信任。 该端点没有 authenticate!，且处理器直接读取 params['file.path']（攻击者的字符串），而非 Workhorse 已验证、路径受限的 params[:file] UploadedFile。
4. 通过错误消息外泄。 内容通过 Rack::Utils.parse_nested_query 错误字符串（"invalid %-encoding (<file bytes>)"）泄露——响应会反射文件字节，直到第一个无效的 。

补丁添加了 authenticate!，改用已验证的 UploadedFile，并停止反射 e.message。见 docs/ANALYSIS.md §5。

快速开始

# 1. 启动漏洞实验环境（详情见 lab/README.md）
cd lab && docker compose up -d      # 等待约 5 分钟让 GitLab 变为健康状态

# 2. 非破坏性检测
../poc/detect.sh http://localhost:8929

# 3. 针对你已获授权在自有实验环境中读取的文件进行文件读取 PoC
../poc/exploit.sh http://localhost:8929 /var/opt/gitlab/gitlab-rails/etc/gitlab.yml

⚠️ 负责任使用

本内容发布用于防御和教育目的：理解、检测和修补一个已披露、已修补且列入 CISA KEV 列表的 CVE。此处的脚本为单目标，并要求你显式传入目标。

• 仅针对你拥有或明确获授权测试的系统运行这些脚本。
• 实验环境设计为在 localhost 上运行。请勿将其指向第三方主机。
• 在大多数司法管辖区，未经授权访问计算机系统是违法的。

如果你运行 GitLab，请升级到已修复版本——这是唯一真正的补救措施。

参考资料

• watchTowr — Rapid Reaction: GitLab Path Traversal (CVE-2026-85706)
• Nuclei Templates — PR #17231
• 主要源码 diff：gitlab-org/gitlab @ v19.3.1-ee 对比 v19.3.2-ee

许可证

MIT — 仅限分析和 PoC 代码。GitLab 是 GitLab Inc. 的商标；本仓库与 GitLab Inc. 无关联，亦未获其认可。