แจ้งเตือนช่องโหว่ Path Traversal ใน GitLab Community Edition and Enterprise Edition (CVE-2026-85706)
CISA KEV: GitLab Community Edition and Enterprise Edition Path Traversal Vulnerability in GitLab Community Edition and Enterprise Edition (CVE-2026-85706)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-85706 ในระบบ GitLab Community Edition and Enterprise Edition ซึ่งเกิดจากข้อบกพร่องในการจำกัดเส้นทาง (Path Traversal) และการขาดการตรวจสอบสิทธิ์ใน Repository Commits API ส่งผลให้ผู้โจมตีที่ไม่มีการยืนยันตัวตนสามารถเข้าถึงและอ่านไฟล์สำคัญบนระบบได้โดยไม่ได้รับอนุญาต หน่วยงานที่ใช้งานควรเร่งดำเนินการตรวจสอบและปรับปรุงความปลอดภัยตามคำแนะนำ
รายละเอียดช่องโหว่ (Vulnerability Details)
รหัสช่องโหว่: CVE-2026-85706
ผลิตภัณฑ์ที่ได้รับผลกระทบ: GitLab Community Edition and Enterprise Edition
ประเภทช่องโหว่: Path Traversal / Improper Path Confinement and Missing Authentication Enforcement
กลไกการโจมตี (Exploitation Mechanism):
ช่องโหว่นี้เกิดขึ้นเนื่องจากระบบ Repository Commits API ของ GitLab มีข้อบกพร่องในการจำกัดเส้นทางไฟล์ (Improper Path Confinement) และไม่มีการบังคับใช้การตรวจสอบสิทธิ์ (Missing Authentication Enforcement) อย่างเหมาะสม ช่องโหว่ดังกล่าวเปิดโอกาสให้ผู้โจมตีภายนอกที่ไม่ต้องมีการยืนยันตัวตน (Unauthenticated User) สามารถส่งคำขอพิเศษผ่าน API เพื่อเข้าถึง อ่าน หรือดึงข้อมูลไฟล์ลับอื่นๆ ที่อยู่ภายนอกขอบเขตที่กำหนดบนเซิร์ฟเวอร์ได้โดยตรง (Arbitrary File Read)
ผลกระทบต่อองค์กร (Impact):
- ผู้โจมตีสามารถเข้าถึงและอ่านไฟล์ที่มีความละเอียดอ่อนบนระบบได้ ซึ่งอาจนำไปสู่การรั่วไหลของข้อมูลลับ, ข้อมูลประจำตัว (Credentials), หรือการตั้งค่าระบบภายใน
- เพิ่มความเสี่ยงในการถูกเจาะ (Privilege Escalation หรือ System Compromise) ต่อเนื่องไปยังส่วนอื่นๆ ของโครงสร้างพื้นฐานไอทีในองค์กร
แนวทางการปฏิบัติและการบรรเทาผลกระทบ (Mitigation Recommendations)
- อัปเดตแพตช์ความปลอดภัย: ดำเนินการอัปเดตระบบ GitLab Community Edition และ Enterprise Edition เป็นเวอร์ชันที่ได้รับการแก้ไขช่องโหวบจากผู้พัฒนาอย่างเร่งด่วน
- การปฏิบัติตามกรอบความปลอดภัย: ดำเนินการตามคำแนะนำของ CISA และแนวทางตามคำสั่งปฏิบัติการ (BOD 26-04) ในการจัดลำดับความสำคัญของการอัปเดตความปลอดภัยตามระดับความเสี่ยง
- ตรวจสอบการเข้าถึง (Access Control & Monitoring): ตรวจสอบการเข้าถึงอินเทอร์เน็ตของสินทรัพย์ (Asset Internet Exposure) และเฝ้าระวังความผิดปกติที่เกิดขึ้นกับ Repository Commits API ผ่านระบบ Log Monitoring อย่างใกล้ชิด
- มาตรการทางเลือก: หากยังไม่สามารถอัปเดตแพตช์ได้ทันที ให้พิจารณามาตรการจำกัดการเข้าถึงเครือข่าย หรือระงับการใช้งานชั่วคราวตามคำแนะนำของผู้ผลิต