בדיקת תקינות של קובץ הגדרות נשמעת כמו הפעולה הכי פחות מזיקה שיש. שולחים טקסט, המערכת אומרת אם הוא כתוב נכון. ב-GitLab, ה-API שעושה את זה עבור קובץ ה-CI אפשר למשתמשים חיצוניים לא מורשים לגרום לשרת לשלוח בקשות רשת בשמו. הציון 6.8.
מה החולשה?
כשהשרת עצמו יוצא לשלוח בקשה לכתובת שמישהו אחר הכתיב לו, משתנה דבר אחד קריטי: הבקשה יוצאת מתוך הרשת ולא מבחוץ. שירותים פנימיים שחוסמים גישה מהאינטרנט לרוב אינם חוסמים פנייה שמגיעה ממכונה שיושבת לידם, מפני שהם סומכים על המיקום ולא על הזהות. לטכניקה הזאת קוראים SSRF, זיוף בקשות מצד השרת.
הדרך פנימה כאן היא ה-API של בדיקת קובץ ה-CI. GitLab מריץ תהליכי בנייה שמוגדרים בקובץ תצורה, ויש endpoint שתפקידו לבדוק קובץ כזה לפני שמכניסים אותו לשימוש. לפי הרשומה, משתמשים חיצוניים לא מורשים יכלו לבצע דרכו בקשות מצד השרת.
הניקוד מספר את גבולות הדבר. מורכבות התקיפה מסומנת כגבוהה, לא נדרשות הרשאות, וההיקף מסומן כמשתנה, כלומר ההשפעה חורגת מהרכיב שבו יושבת החולשה. מבחינת הנזק מסומנת פגיעה בסודיות בלבד: שלמות וזמינות מסומנות כאפס.
התוקף מקבל כאן עיניים בתוך הרשת, לא ידיים.
מי מושפע?
טווח הגרסאות רחב במיוחד: מ-10.5 ועד 14.3.6, וכן ענף 14.4 עד 14.4.4 וענף 14.5 עד 14.5.2. במונחי לוח זמנים זה חוצה כמה שנים של התקנות.
זה נוגע למי שמריץ שרת GitLab משלו. בישראל זה נפוץ בחברות תוכנה ובצוותי פיתוח גדולים, ומה שהופך את החולשה למעשית אינו השרת עצמו אלא מה ששכן לו ברשת. ככל שיש יותר שירותים פנימיים שסומכים על כך שרק מכונה מבפנים תפנה אליהם, כך יש יותר מה להשיג.
האם מנוצלת בפועל?
כן. ב-3 בפברואר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-24 בפברואר 2026.
הרשומה ב-NVD פורסמה בדצמבר 2021. שווה לציין פרט מהמקורות: GitLab מנהלת מאגר ציבורי משלה לרשומות החולשות שלה, והרשומה הזאת מופיעה שם לצד הדיווח המקורי. זו רמת שקיפות שלא כל יצרן נוהג בה.
מה עושים?
בדקו איזו גרסה רצה אצלכם, דרך אזור הניהול של השרת, והשוו לשלוש גרסאות התיקון: 14.3.6, 14.4.4 ו-14.5.2, לפי הענף שאתם בו.
אם אתם עדיין בטווח הזה, החולשה הבודדת הזאת אינה הבעיה המרכזית שלכם. שרת שנשאר בענף 14 צבר מאז שנים של תיקוני אבטחה שלא הותקנו, והצעד הנכון הוא מעבר לגרסה נתמכת ולא עצירה ב-14.5.2.
הצעד שמועיל גם מעבר לחולשה הזאת הוא הגבלת מה שהשרת עצמו יכול להגיע אליו. חולשה מהסוג הזה הופכת את GitLab ללקוח ששולח בקשות, ולכן סינון תעבורה יוצאת מהמכונה, ובמיוחד חסימה של גישה משם אל ממשקי ניהול ואל שירותי מטא נתונים פנימיים, מקטין את מה שכל SSRF עתידי יוכל להשיג.
ולבסוף, שאלה שכדאי לשאול פעם אחת ולסגור: אילו שירותים פנימיים אצלכם מאשרים פנייה רק מפני שהיא הגיעה מבפנים? כל אחד מהם הוא היעד האמיתי בסיפור כזה, ולא GitLab.