GitLab تحذر من ثغرة حرجة في تنفيذ الكود

ثغرة حرجة في مترجم تعابير CI/CD النمطية

دعت GitLab يوم الثلاثاء المستخدمين إلى إصلاح ثغرة حرجة في مترجم التعابير النمطية لـ CI/CD، تتيح للمهاجمين عن بُعد تنفيذ تعليمات برمجية عشوائية على مثيلات مستهدفة. تم تخصيص المعرف CVE-2026-97229 للثغرة؛ اكتشفها باحث أمني بالاسم المستعار joaxcar وأبلغ عنها عبر برنامج مكافآت الأخطاء HackerOne التابع لـ GitLab.

وفقًا لنشرة الأمان الخاصة بـ GitLab، تنتج المشكلة عن ثغرة تجاوز سعة عدد صحيح في المكون الذي يحلل ويجمع ويعالج التعابير النمطية في ملفات تكوين خط أنابيب المشاريع. في ظل ظروف معينة، يمكن لمستخدم غير مصرح له تنفيذ تعليمات برمجية عشوائية على خادم GitLab باستخدام تعبير نمطي مصمم خصيصًا في تكوين CI/CD، بسبب عدم كفاية التحقق من التعابير النمطية.

التصحيحات والإصدارات المتأثرة

أصلحت GitLab المشكلة في إصداري Community Edition (CE) و Enterprise Edition (EE) حتى الإصدار 19.2.8 من 19.2، و19.3.4 من 19.3، و19.4.2 من 19.4. أعلنت الشركة أن هذه الإصدارات تتضمن إصلاحات أخطاء مهمة وتصحيحات أمنية، وتوصي بشدة بتحديث جميع عمليات تثبيت GitLab المستقلة فورًا إلى أحد هذه الإصدارات.

يعمل GitLab.com بالفعل على الإصدار المصحح، بينما لا يحتاج عملاء GitLab Dedicated إلى اتخاذ أي إجراء.

مشاكل الأمان الأخيرة في GitLab

CVE-2026-97229 هو الأحدث في سلسلة الثغرات التي أصلحتها GitLab في الأشهر الأخيرة. في يناير، أصلحت الشركة ثغرة عالية الخطورة في تجاوز صفحة المصادقة الثنائية (CVE-2026-0723)، تتيح للمهاجمين الذين يعرفون معرف حساب الهدف تجاوز المصادقة الثنائية على خوادمي Community و Enterprise Edition.

في الشهر الماضي، أصلحت GitLab ثغرة حرجة أخرى (CVE-2026-85706) في CE/EE، تتيح للمهاجمين غير المصرح لهم قراءة البيانات الحساسة من الخوادم غير المصححة، مثل بيانات المصادقة والأسرار الأخرى. بعد يوم واحد، أضافت وكالة الأمن السيبراني وحماية البنية التحتية الأمريكية (CISA) CVE-2026-85706 إلى كتالوج الثغرات المستغلة في الهجمات الحقيقية، وألزمت الوكالات الفيدرالية بتأمين أنظمتها خلال ثلاثة أيام.

حددت CISA خمس ثغرات في GitLab تم استغلالها في هجمات منذ نوفمبر 2021، بما في ذلك واحدة استخدمتها مجموعات برامج الفدية. وفقًا لـ GitLab، يستخدم منصتها DevSecOps أكثر من 30 مليون مستخدم مسجل وأكثر من 50% من شركات Fortune 100، بما في ذلك Nvidia و T Mobile و Lockheed Martin و Airbus و Goldman Sachs.

المصادر: Lobsters