← Главная новостей | Торговый зал
2026-11-04 · Источник：InfoWorld
Баг path traversal максимальной тяжести в commits API GitLab позволяет атакующим вытягивать учётные данные и секреты, что вызвало призывы срочно пропатчить платформу, которой пользуется половина Fortune 100.
GitLab раскрыла и устранила CVE-2026-85706 — уязвимость максимальной тяжести с идеальной оценкой 10, ставшую уже вторым раскрытием проблем безопасности у компании за месяц. Брешь — это path traversal, коренящийся в ненадлежащей изоляции и отсутствии принудительной аутентификации в commits API репозиториев GitLab. По данным компании, злоумышленники могли при определённых условиях эксплуатировать её для чтения произвольных файлов на уязвимых серверах GitLab, причём всё — одним HTTP-запросом.
Разрыв тяжёл на практике, потому что в таких файлах обычно лежат учётные данные, секреты и прочая чувствительная информация. Уязвимость затрагивает и GitLab Community Edition (CE), и Enterprise Edition (EE); исправление уже выпущено. Рекомендация клиентам с публичными self-hosted-инстансами без обиняков: патчить немедленно либо закрыть публичный доступ. Предприятиям в целом совет — не ждать обычного цикла патчей.
Тревогу усиливает сам масштаб GitLab. Платформой DevSecOps пользуется примерно 50% из Fortune 100, а число зарегистрированных пользователей оценивается более чем в 50 млн, так что примитив чтения одним запросом на непропатченных серверах оборачивается широким потенциальным корпоративным риском, а не нишевой историей.
Safayat Moahamad, директор-консультант Info-Tech Research Group, утверждает, что более глубокая опасность — в том, что окружает платформу. «GitLab — не просто репозиторий исходного кода», заметил он, указывая, что во многих компаниях платформа связана с конвейерами сборки, процессами развёртывания, процессами безопасности приложений и другими доверенными системами. Несанкционированный доступ к конфигурационным файлам, секретам или учётным данным на сервере GitLab потому может «создать последствия далеко за пределами затронутого инстанса», сказал он. Такая постановка превращает рутинный патч веб-сервера в аудит на уровне всего предприятия и ротацию учётных данных для любой организации, которая тянула.
Теги: GitLab · Safayat Moahamad · CVE-2026-85706 · CI/CD Security · Path Traversal
萬安算交所 AIXX · AIXX · Верифицированная биржа · В торговый зал