«رابيد7» تحوّل ثغرة «جيت لاب» المصنّفة 10.0 إلى عرض حي لمنتجاتها قبل ثلاثة أسابيع من إعلان نتائجها المالية
تعبير نمطي (Regex) من 248 حرفًا يكفي لتنفيذ أوامر على خوادم «جيت لاب» المُدارة ذاتيًا وغير المحدّثة. وبعد يوم واحد من إصدار «جيت لاب» الإصلاح في 12 أكتوبر، أعادت «رابيد7» (Rapid7) إنتاج الاستغلال وأرسلت أداة الكشف إلى عملائها المدفوعين في اليوم نفسه، فيما يبدو أنه أول تشغيل علني لوحدة «إنتليجنس» التي أطلقتها الشركة في 2 أكتوبر.
Vincent Jiang · 4 min read
تعبير نمطي يفلت من نقاط التفتيش
في 12 أكتوبر، أصدرت «جيت لاب»−5.70% — «جيت لاب», down 5.70 percent today إصلاحًا أمنيًا استثنائيًا خارج جدول إصداراتها الشهرية المعتاد لمعالجة الثغرة CVE-2026-97229، وهي ثغرة تجاوز عدد صحيح (Integer Overflow) منحتها الشركة درجة 10.0، القصوى على مقياس الخطورة CVSS 12. وتقع الثغرة في المُصرِّف (Compiler) الذي يعالج التعبيرات النمطية في إعدادات التكامل والنشر المستمر (CI/CD)، أي خطوط الأنابيب التي تبني البرمجيات وتنشرها، وذلك في إصداري المجتمع والمؤسسات المُدارَين ذاتيًا. وكانت الثغرة واحدة من 24 ثغرة عولجت في اليوم نفسه، ووصلت إلى «جيت لاب» عبر تقرير على منصة مكافآت اكتشاف الثغرات HackerOne قدّمه باحث يعمل تحت اسم joaxcar 23.
وبعد يوم واحد، قالت «رابيد7»−3.59% — «رابيد7», down 3.59 percent today إنها أعادت إنتاج سلسلة الاستغلال كاملة على الصورة الرسمية غير المحدّثة من إصدار المجتمع 19.4.1 مع تفعيل خاصية عشوائية مساحة العنوان. غير أن الإدخال نفسه فشل أمام الإصدار المحدّث 19.4.2 1. ويقوم مسار الاختراق على مرحلتين: تعبير نمطي مصنوع بإحكام داخل ملف خط الأنابيب .gitlab-ci.yml يجتاز فحص «جيت لاب»، ثم يعاد تصريفه مقابل مسار مستودع يحوي أحرف UTF-8، حيث يؤدي تجاوز عدد صحيح في محرك Onigmo الخاص بلغة روبي إلى منح المهاجم السيطرة على العملية.
من الإصلاح إلى استغلال فعّال في 24 ساعة
تجري بعد ذلك أوامر نظام التشغيل تحت حساب «git»، وهو حساب الخدمة الذي يعمل تطبيق «جيت لاب» من خلاله 1. ويحوّل إثبات مفهوم منشور للعموم 248 حرفًا إلى ما يزيد على 2 جيجابايت من شيفرة المحرك وصولًا إلى الدالة system() 4. وتصنّف «جيت لاب» الثغرة على أنها قابلة للاستغلال دون أي مصادقة. غير أن استنساخ «رابيد7» ظل بحاجة أولًا إلى وسيلة لزرع ملف الإعدادات هذا، وهو عائق يزول في أي خادم يتيح لأي شخص التسجيل وإنشاء مشروع عام 1.
خوادم مُدارة ذاتيًا تختزن الشيفرة المصدرية وبيانات الدخول السحابية
ما يوجد خلف هذه الخوادم هو ما يجعل ثغرة بدرجة 10.0 تستقطب المهاجمين بهذه السرعة: الشيفرة المصدرية للمؤسسة، وخطوط أنابيب البناء، وبيانات الدخول التي تستخدمها هذه الخطوط للوصول إلى الحسابات السحابية، على حد وصف رومان ي. سانيكوف، منسق الأبحاث العالمي في iCounter 5. وتُحصي «جيت لاب» أكثر من نصف شركات قائمة «فورتشن 100» بين عملائها 3.
هذه ثاني ثغرة بأقصى درجة خطورة تصيب «جيت لاب» خلال شهرين. فقد أُدرجت ثغرة اجتياز المسار (path traversal) التي رُقّمت CVE-2026-85706 في سبتمبر، في قائمة الثغرات المستغَلة التي تحتفظ بها وكالة الأمن السيبراني الأمريكية «سيسا» (CISA) بعد يوم واحد من إصلاح «جيت لاب» لها، فيما كان باحثو شركة watchTowr يسجلون بالفعل محاولات استطلاع 36. وقال سانيكوف: «على الفرق أن تفترض أن الفترة الفاصلة بين الإفصاح والاستغلال تُقاس بأيام لا بأسابيع» 5. ولم يُؤكَّد أي استغلال للثغرة الجديدة حتى 13 أكتوبر 1.
الكشف في اليوم نفسه.. أول تشغيل فعلي للوحدة الجديدة داخل منتج
القصة، من زاوية الأعمال، هي التوقيت. فقد أدخلت وحدة «رابيد7 إنتليجنس»، التي أُطلقت في 2 أكتوبر بهدف دفع أبحاث الثغرات مباشرة إلى منتجات مدفوعة، فحص كشف مصادَق (authenticated) لهذه الثغرة في منتجاتها «إكسبوجر كوماند» (Exposure Command) و«إدارة الثغرات» (Vulnerability Management) وNexpose، ضمن إصدار المحتوى نفسه بتاريخ 13 أكتوبر 17. وبالنسبة إلى العملاء الدافعين، هذا هو عرض الإطلاق مجسدًا في شيفرة عاملة: أبحاث تصل إلى المنتج خلال يوم واحد من الكشف العلني عن الثغرة.
والشركة الأم المدرجة في بورصة «ناسداك» بحاجة إلى هذا البرهان. فقد تراجعت إيراداتها 1.5 بالمئة على أساس سنوي في ربع يونيو، في ثاني تراجع على التوالي، وخفّض «جي بي مورغان» توصيته على السهم إلى «أقل من وزن السوق» في سبتمبر مع سعر مستهدف يبلغ 12 دولارًا 89. وتصدر نتائج الربع الثالث في 4 نوفمبر 8.
نمو «رابيد7» يهبط من 13 بالمئة إلى تراجع في ربعين متتاليين
Data
| نمو الإيرادات على أساس سنوي | |
|---|---|
| الربع الثالث 2023 | 13.1% |
| الربع الرابع 2023 | 11.3% |
| الربع الأول 2024 | 12% |
| الربع الثاني 2024 | 9.2% |
| الربع الثالث 2024 | 8% |
| الربع الرابع 2024 | 5.4% |
| الربع الأول 2025 | 2.5% |
| الربع الثاني 2025 | 3% |
| الربع الثالث 2025 | 1.5% |
| الربع الرابع 2025 | 0.5% |
| الربع الأول 2026 | -0.3% |
| الربع الثاني 2026 | -1.5% |
«جيت لاب» تنمو 21 بالمئة بينما تنكمش «رابيد7»
«جيت لاب» (المدرجة في بورصة «ناسداك» بالرمز GTLB) تنمو وتظل مكشوفة للخطر في آنٍ واحد: ارتفعت إيراداتها 21.3 بالمئة إلى 286.3 مليون دولار في الربع المنتهي في يوليو، مع تسجيلها خسارة صافية قدرها 36.8 مليون دولار 10. أما موقع GitLab.com فقد عولج بالفعل، ولا يحتاج عملاء «ديديكيتد» (Dedicated)، خدمتها المستضافة أحادية المستأجر، إلى أي إجراء؛ وبذلك يقع الضرر المباشر على خوادم العملاء لا على القوائم المالية للمزوّد 1.
نمو إيرادات «جيت لاب» يتجاوز 20 بالمئة في الأرباع الاثني عشر كافة
Data
| الإيرادات (مليون دولار) | |
|---|---|
| الربع الثالث 2023 | $149.67M |
| الربع الرابع 2023 | $163.78M |
| الربع الأول 2024 | $169.19M |
| الربع الثاني 2024 | $182.58M |
| الربع الثالث 2024 | $196.05M |
| الربع الرابع 2024 | $211.43M |
| الربع الأول 2025 | $214.51M |
| الربع الثاني 2025 | $235.96M |
| الربع الثالث 2025 | $244.35M |
| الربع الرابع 2025 | $260.4M |
| الربع الأول 2026 | $264.16M |
| الربع الثاني 2026 | $286.25M |
الترقية فورًا... ثم ترقّب موعدين
الإصدارات المستهدفة بالترقية محددة: 19.2.8 و19.3.5 و19.4.2، وتُثبَّت الآن بدلًا من انتظار الدورة الشهرية المقبلة 1. وإذا كان لا بد من تأجيل الترقية، توصي «جيت لاب» بتقييد الوصول المجهول إلى المشاريع العامة، ومنع المستخدمين غير الموثوقين من إنشائها 1. وفي أي نسخة ظلت دون إصلاح طوال نافذة الإفصاح، توصية سانيكوف هي تدوير الأسرار والرموز المميزة الخاصة بالتكامل والنشر المستمر (CI/CD)، ومراجعة نشاط المنفّذات (Runners) وخطوط الأنابيب منذ الإفصاح 5.
مؤشران سيكشفان كيف تنتهي هذه الحلقة. أولهما ما إذا كانت ثغرة CVE-2026-97229 ستحذو حذو شقيقتها في سبتمبر وتلحق بقائمة الثغرات المستغَلة لدى «سيسا» 36. وثانيهما الرابع من نوفمبر، حين تعلن «رابيد7» نتائج الربع الثالث، وعليها أن تُجيب عما إذا كانت وحدة «رابيد7 إنتليجنس» بدأت تظهر أثرها في إقبال العملاء على المنتجات المدفوعة 8. وحتى ذلك الحين، يبقى الانكشاف على عاتق من يشغّل نسخة مُدارة ذاتيًا منسية.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
