Уязвимость максимальной степени тяжести в GitLab подвергает self-managed-серверы риску чтения произвольных файлов

В self-managed-экземплярах программного обеспечения GitLab Community Edition и Enterprise Edition выявлена критическая уязвимость безопасности, которой присвоен максимальный уровень степени тяжести. Она позволяет неаутентифицированным удаленным злоумышленникам читать произвольные файлы, хранящиеся на уязвимых хостинг-серверах. Согласно материалу, опубликованному Taryn Plumb 15 сентября 2026 года, сети мониторинга безопасности уже зафиксировали активное сканирование со стороны злоумышленников, пытающихся обнаружить уязвимые, не пропатченные установки в публичном интернете. Уязвимость представляет непосредственную угрозу для корпоративных сред разработки ПО, поскольку доступ к раскрытию файлов без аутентификации позволяет злоумышленникам получать конфигурационные файлы системы, учетные данные баз данных, токены доступа к API и проприетарный исходный код без наличия легитимных учетных записей.

## Key facts - Уязвимость максимальной степени тяжести затрагивает self-managed-экземпляры GitLab Community Edition (CE) и Enterprise Edition (EE). - Брешь предоставляет удаленным злоумышленникам возможность чтения произвольных файлов в файловой системе хоста без прохождения аутентификации. - Сервисы мониторинга кибербезопасности зарегистрировали активные попытки сканирования подключенных к интернету серверов в реальных условиях («in the wild»). - Организациям, использующим self-hosted-установки, необходимо незамедлительно установить обновления безопасности или внедрить рекомендованные сетевые ограничения доступа. - Утечка файлов сервера в системе непрерывной интеграции и доставки (CI/CD) может привести к компрометации интегрированных облачных сред и конвейеров дистрибуции ПО.

## What happened Недавно раскрытая брешь в безопасности затрагивает self-managed-установки GitLab — широко распространенной веб-платформы для управления репозиториями и DevOps. Согласно публикациям Taryn Plumb, уязвимости присвоен наивысший уровень опасности из-за низкого порога для эксплуатации и широкого уровня доступа, который она предоставляет неавторизованным пользователям. В частности, уязвимость содержит вектор атаки без аутентификации, позволяющий удаленному пользователю запрашивать и просматривать произвольные файлы на локальной файловой системе сервера.

В типичной архитектуре веб-приложений строгая валидация ввода и механизмы контроля доступа предотвращают выход внешних веб-запросов за пределы предназначенных для этого публичных каталогов. При возникновении уязвимости типа «чтение произвольных файлов» (arbitrary file read) злоумышленник может манипулировать конечными точками или параметрами приложения для обхода структуры каталогов — техника, исторически известная как «path traversal» (обход каталога) или «local file inclusion» (локальное включение файлов). Это позволяет злоумышленнику обходить точки проверки аутентификации и принуждать процесс приложения возвращать запрашивающему чувствительные системные файлы.

Данные телеметрии угрозовой разведки указывают на то, что злоумышленники не стали ждать массового развертывания патчей и сразу перешли к разведке. Как сообщает Taryn Plumb, автоматизированные скрипты сканирования и зонды попыток эксплуатации активно опрашивают диапазон IPv4-адресов в поисках уязвимых self-managed-узлов GitLab. Эти зонды обычно нацелены на конкретные веб-маршруты, чтобы проверить, отвечает ли экземпляр идентификаторами сервера или содержимым файлов, характерным для незащищенной версии. Поскольку уязвимость не требует аутентификации, злоумышленник может запускать автоматизированные скрипты в масштабе всей сети, выявляя уязвимые установки без необходимости иметь валидные учетные данные, сессионные cookie или предварительный доступ к сети целевой организации.

## Why it matters Серверы непрерывной интеграции и непрерывной доставки (CI/CD) занимают особое, привилегированное положение в современных корпоративных сетях. Будучи центральным механизмом автоматизации сборки, тестирования и развертывания программного обеспечения, сервер GitLab часто хранит обширные операционные учетные данные или имеет к ним доступ. Уязвимость чтения произвольных файлов без аутентификации на таком сервере создает катастрофический вектор взлома, выходящий далеко за пределы самой системы управления репозиториями.

Получив доступ к чтению произвольных файлов, злоумышленник может извлечь критически важные файлы конфигурации системы, включая внутренние файлы конфигурации секретов GitLab (`gitlab-secrets.json`), строки подключения к базе данных, закрытые ключи SSH и переменные окружения, содержащие учетные данные сторонних сервисов. Раскрытие основного секретного ключа приложения позволяет злоумышленникам подделывать токены сессий, расшифровывать сохраненные переменные окружения и выдавать себя за администраторов. Кроме того, чтение системных конфигурационных файлов, таких как `/etc/passwd`, или определений окружения контейнеров может предоставить ключевую информацию об архитектуре операционной системы хоста и смежной сетевой топологии.

Помимо секретов системного администрирования, CI/CD-платформы содержат проприетарный исходный код и объекты интеллектуальной собственности. Доступ к исходным файлам репозитория на диске открывает возможности для коммерческого шпионажа, кражи интеллектуальной собственности и выявления вторичных уязвимостей ПО во внутренней базе кода организации. Что еще более критично, компрометация сервера сборки подрывает целостность цепочки поставок программного обеспечения. Если злоумышленник использует украденные учетные данные или административный доступ, полученный путем чтения файлов, для внедрения изменений в скрипты сборки или кодовые репозитории, он может внедрить вредоносные бэкдоры в конечные программные продукты, распространяемые внешним клиентам или развертываемые в корпоративной инфраструктуре.

Для команд кибербезопасности и IT-администраторов быстрый переход от раскрытия информации об уязвимости к ее активной эксплуатации в реальных условиях исключает стандартный льготный период на установку обновлений. Организации, которые незамедлительно не изолируют и не обновят уязвимые self-managed-экземпляры, сталкиваются с высокой вероятностью автоматической компрометации.

## The background GitLab, разработанный компанией GitLab Inc., является одним из самых популярных в мире инструментов DevOps, предоставляющим возможности управления исходным кодом, отслеживания ошибок и автоматизированных конвейеров CI/CD. Программное обеспечение распространяется преимущественно в двух моделях развертывания: облачная платформа «Программное обеспечение как услуга» (SaaS), размещенная непосредственно на GitLab.com, и self-managed-установки, разворачиваемые на собственной инфраструктуре клиентов, в облачных виртуальных машинах или изолированных корпоративных сетях («air-gapped»). Self-managed-развертывания предлагаются как в бесплатной версии с открытым исходным кодом Community Edition (CE), так и в коммерческой версии Enterprise Edition (EE), имеющих общую кодовую базу.

Локальная (self-hosted) CI/CD-инфраструктура особенно популярна среди медицинских учреждений, финансовых организаций, оборонных подрядчиков и государственных органов, работающих в условиях строгих требований к суверенитету данных, конфиденциальности или нормативно-правовому соответствию, которые запрещают размещение проприетарного кода на публичных облачных платформах. Однако вся операционная нагрузка по управлению, мониторингу и пропатчиванию локальных серверов полностью лежит на внутренних отделах IT и информационной безопасности.

Исторически уязвимости максимальной степени тяжести в GitLab привлекали немедленное и агрессивное внимание со стороны различных киберпреступников — от операторов программ-вымогателей до правительственных APT-группировок (Advanced Persistent Threat). Например, в 2021 году уязвимость удаленного выполнения кода максимальной степени тяжести с идентификатором CVE-2021-22205 широко эксплуатировалась для захвата не пропатченных серверов и их объединения в ботнеты для распределенных атак типа «отказ в обслуживании» (DDoS) или сетей скрытого майнинга. Совсем недавно, в начале 2024 года, критическая уязвимость захвата учетных записей CVE-2023-7028, получившая оценку 10,0 по метрике CVSS (Common Vulnerability Scoring System), вызвала экстренные предупреждения со стороны Агентства по кибербезопасности и защите инфраструктуры США (CISA) после того, как во всем мире были зафиксированы массовые автоматизированные попытки сброса паролей.

Согласно метрике CVSS (CVSS v3.1/v4.0), максимальная оценка степени тяжести 10,0 означает, что уязвимость может быть эксплуатирована по сети без взаимодействия с пользователем, не требует специальных привилегий и создает серьезные риски для конфиденциальности, целостности и доступности. Хотя уязвимость чтения произвольных файлов напрямую влияет на конфиденциальность, исследователи безопасности часто комбинируют возможности чтения файлов с существующими механизмами ПО для достижения удаленного выполнения кода (RCE), превращая баг раскрытия информации в полный захват сервера.

## Reaction Новости об активном сканировании в реальных условиях вызвали срочные предупреждения в сообществе кибербезопасности и среди специалистов по DevOps. Системным администраторам, управляющим self-hosted-инфраструктурой GitLab, рекомендуется незамедлительно проверить журналы доступа на предмет аномальных HTTP-запросов к статическим ресурсам или конечным точкам конфигурации, особенно запросов, содержащих последовательности обхода каталогов, такие как `../`, или нетипичные шаблоны кодирования URI.

Команды реагирования на инциденты безопасности отдают приоритет ограничению доступа к self-managed-развертываниям GitLab из публичных сетей. Общепринятые в отрасли практики требуют размещения интерфейсов администрирования и платформ хостинга репозиториев за периметровыми средствами защиты, такими как брандмауэры веб-приложений (WAF), шлюзы сетевого доступа с нулевым доверием (ZTNA) или виртуальные частные сети (VPN), чтобы предотвратить прямое взаимодействие неаутентифицированного интернет-трафика с необработанными портами приложений.

Хотя официальные ответы отдельных пострадавших предприятий пока не раскрываются публично, в корпоративных центрах управления безопасностью (SOC) запускаются экстренные процессы установки патчей. Аналитики по безопасности подчеркивают, что применение официальных обновлений от вендора остается единственной полной мерой снижения рисков, поскольку правила брандмауэров веб-приложений и политики фильтрации путей часто можно обойти с помощью новых методов кодирования.

## What we don't know yet Несколько технических и операционных деталей, касающихся этой уязвимости максимальной степени тяжести, остаются неподтвержденными в доступных отчетах. Конкретный идентификатор CVE (Common Vulnerabilities and Exposures), присвоенный для отслеживания этой бреши, не был явно указан в первоначальных публикациях, как и полный спектр затрагиваемых семантических версий выпусков GitLab CE и EE.

Остается неясным, удалось ли исследователям по безопасности или злоумышленникам объединить эту уязвимость чтения произвольных файлов с другими функциями приложения для достижения полного удаленного выполнения кода в целевых системах. Кроме того, хотя в реальных условиях наблюдается активное сканирование, в отчетах на данный момент эта деятельность не связывается с конкретными известными кибергруппировками или государственными структурами кибершпионажа. Полное географическое распределение и отраслевая разбивка скомпрометированных или просканированных серверов также остаются неизвестными до получения более широких отчетов телеметрии от компаний, занимающихся реагированием на инциденты кибербезопасности.

## What to watch В ближайшие дни траекторию и общий масштаб этой угрозы безопасности определят несколько ключевых факторов: - Выпуск подробных бюллетеней безопасности и официальных патчей от компании GitLab Inc. с указанием конкретных исправленных версий для веток CE и EE. - Публикация технического анализа первопричин и концептуального кода эксплойтов (PoC) независимыми исследователями, что обычно ускоряет автоматизированную эксплуатацию менее квалифицированными злоумышленниками. - Возможное включение уязвимости в каталог известных эксплуатируемых уязвимостей (KEV) Агентства по кибербезопасности и защите инфраструктуры США (CISA), что повлечет за собой обязательные сроки устранения для федеральных гражданских органов исполнительной власти США. - Мониторинг раскрытия информации о корпоративных инцидентах для определения того, приведут ли не пропатченные серверы, подпавшие под первоначальную волну сканирования, к крупным взломам цепочек поставок ПО или утечкам учетных данных.

В данном материале использованы данные, первоначально опубликованные Taryn Plumb.