جزئیات فنی آسیب‌پذیری گیت‌لب و نحوه سوءاستفاده از آن
آسیب‌پذیری CVE-2026-97229 ناشی از سرریز عدد صحیح در کامپایلر عبارات منظم گیت‌لب است. این کامپایلر وظیفه دارد عبارات منظم تعریف‌شده در فایل‌های پیکربندی پایپ‌لاین (Pipeline) پروژه‌ها را تجزیه، کامپایل و ارزیابی کند.
طبق اطلاعیه امنیتی گیت‌لب، اعتبارسنجی ناکافی عبارات منظم در پیکربندی CI/CD می‌تواند در شرایط خاص به مهاجمان بدون احراز هویت اجازه دهد با استفاده از یک عبارت منظمِ دست‌کاری‌شده، کد دلخواه را روی سرور هدف اجرا کنند.
نسخه‌های آسیب‌پذیر و ضرورت نصب پچ امنیتی
گیت‌لب این ضعف امنیتی را در نسخه‌های Community Edition (CE) و Enterprise Edition (EE) برطرف کرده است. نسخه‌های آسیب‌پذیر شامل موارد زیر هستند:
- نسخه‌های 19.2 پیش از 19.2.8
- نسخه‌های 19.3 پیش از 19.3.4
- نسخه‌های 19.4 پیش از 19.4.2
این شرکت از کاربران خواسته است در اسرع وقت نسخه‌های امن را روی سرورهای خود نصب کنند. همچنین تأکید کرده است که این نسخه‌ها علاوه بر رفع ضعف امنیتی موردبحث، شامل به‌روزرسانی‌هایی برای برطرف کردن سایر باگ‌های نرم‌افزاری و ضعف‌های امنیتی نیز هستند.
بر اساس اطلاعیه منتشرشده، پچ امنیتی پیش‌تر روی سرویس GitLab.com اعمال شده است و کاربران این سرویس نیازی به انجام اقدام دیگری ندارند. همین موضوع درباره مشتریان سرویس GitLab Dedicated نیز صدق می‌کند. در مقابل، سازمان‌هایی که نمونه خودمیزبان (Self-Managed) را اجرا می‌کنند، باید به‌روزرسانی را در اولویت قرار دهند.
سایر آسیب‌پذیری‌های گیت‌لب در ماه‌های اخیر
آسیب‌پذیری CVE-2026-97229 تازه‌ترین مورد از مجموعه ضعف‌های امنیتی گیت‌لب است که این شرکت طی ماه‌های اخیر برطرف کرده است. پیش از این، در ژانویه، آسیب‌پذیری دیگری با شناسه CVE-2026-0723 و شدت بالا پچ شد که امکان دور زدن احراز هویت دو عاملی (2FA) را فراهم می‌کرد. مهاجمان با در اختیار داشتن شناسه حساب کاربری هدف می‌توانستند این سازوکار امنیتی را در سرورهای نسخه‌های Community Edition (CE) و Enterprise Edition (EE) دور بزنند.
ماه گذشته نیز این شرکت آسیب‌پذیری CVE-2026-85706 با بالاترین سطح شدت(CVSS 10.0) را در نسخه‌های CE و EE برطرف کرد. این ضعف امنیتی به مهاجمان بدون احراز هویت اجازه می‌داد به اطلاعات حساس ذخیره‌شده روی سرورهای آسیب‌پذیر، از جمله اطلاعات ورود به حساب‌ها و سایر داده‌های محرمانه دسترسی پیدا کنند.
آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) یک روز پس از انتشار پچ این آسیب‌پذیری، آن را به فهرست KEV اضافه کرد. همچنین این آژانس به سازمان‌های فدرال دستور داد حداکثر ظرف سه روز، اقدامات لازم را برای ایمن‌سازی سامانه‌های خود انجام دهند.
آژانس CISA از نوامبر 2021 تاکنون، پنج آسیب‌پذیری گیت‌لب را در فهرست خود ثبت کرده است که در حملات واقعی مورد سوءاستفاده قرار گرفته‌اند. یکی از این آسیب‌پذیری‌ها نیز در حملات باج‌افزاری مورد سوءاستفاده قرار گرفته است.
پلتفرم DevSecOps گیت‌لب در سراسر جهان بیش از 70 میلیون کاربر ثبت‌شده دارد و بیش از 50 درصد از شرکت‌های حاضر در فهرست Fortune 100 از این پلتفرم استفاده می‌کنند. از جمله این شرکت‌ها می‌توان به Nvidia، T-Mobile، Lockheed Martin، Airbus و Goldman Sachs اشاره کرد.
گستردگی استفاده از گیت‌لب در سازمان‌ها، نصب به‌موقع پچ‌های امنیتی و به‌روزرسانی نسخه‌های خودمیزبان را به اقدامی ضروری برای کاهش ریسک سوءاستفاده از آسیب‌پذیری‌ها تبدیل می‌کند؛ به‌ویژه در مواردی که ضعف امنیتی می‌تواند زمینه اجرای کد از راه دور(RCE) یا دسترسی غیرمجاز به اطلاعات حساس را فراهم کند.
