CVE-2025-6454

إصدارات GitLab CE/EE من 16.11 حتى 18.3.2

تم اكتشاف مشكلة في GitLab CE/EE تسمح للمستخدمين المسجلين بإجراء طلبات داخلية غير مقصودة عبر بيئات البروكسي عن طريق حقن تسلسلات مُعدَّلة. تكمن الثغرة الأمنية في معالجة رؤوس Webhook، مما قد يؤدي إلى كشف نقاط النهاية الداخلية. يُقدَّر أن حوالي 37% من مثيلات GitLab في Runet قد تكون متأثرة، وهو ما يمثل حوالي 30,000 مثيل نشط. يمكن استغلال هذه الثغرة من خلال دور «المطور» (Developer) ولا تتطلب أي تفاعل من المستخدم. تشمل مؤشرات الاختراق الطلبات التي تحتوي على رؤوس HTTP غير قياسية والمكالمات الداخلية لواجهات برمجة التطبيقات (API) الخاصة بالبروكسي/البيانات الوصفية/المحلية.

قم بتحديث GitLab إلى الإصدار 18.1.6 أو 18.2.6 أو 18.3.2 أو أحدث.

تحقق من إعدادات webhook وقم بإزالة أو تقييد إمكانية استخدام رؤوس HTTP غير قياسية، خاصةً إذا كانت تخضع لسيطرة المستخدم.

إذا كان GitLab مُنشَّرًا خلف بروكسي عكسي أو في بنية تحتية شبكية معقدة، فقم بتقييد الموارد الداخلية التي يمكن لـ GitLab الوصول إليها.