هوش مصنوعی یه باگ جدی در GitHub پیدا کرد
هوش مصنوعیخلاصهٔ کامل‌تر
شرکت امنیتی Wiz اخیراً یه آسیب‌پذیری جدی در GitHub Enterprise Server کشف و گزارش کرده که می‌تونه به یه مهاجم با دسترسی push به یه ریپازیتوری اجازه بده کد دلخواه رو از راه دور روی سرور اجرا کنه. این آسیب‌پذیری با شناسه CVE-2026-3854 ثبت شده و امتیاز CVSS اون ۸.۷ از ۱۰ هست که در دسته آسیب‌پذیری‌های «پرخطر» قرار می‌گیره.
Wiz این باگ رو چهارم مارس از طریق برنامه bug bounty گیت‌هاب گزارش داد. GitHub هم سریع عمل کرد و در کمتر از دو ساعت، پیدا کردن باگ رو تأیید کرد، پچ رو روی github.com زد و بعد از بررسی اعلام کرد که هیچ اکسپلویتی از این آسیب‌پذیری انجام نشده.
اما ریشه فنی این باگ کجاست؟ وقتی یه کاربر کد رو push می‌کنه، اطلاعات متادیتا (مثل نوع ریپازیتوری و محیط اجرا) بین سرویس‌های داخلی گیت‌هاب با یه پروتکل داخلی منتقل میشه. مشکل اینجاست که گزینه‌های push که کاربر می‌فرسته (push options) بدون sanitization کافی وارد این متادیتا می‌شن. چون فرمت متادیتای داخلی از یه کاراکتر جداکننده استفاده می‌کنه که ممکنه در ورودی کاربر هم وجود داشته باشه، مهاجم می‌تونه فیلدهای اضافه‌ای تزریق کنه که سرویس پایین‌دستی اون‌ها رو به عنوان مقادیر داخلی معتبر تفسیر می‌کنه.
Wiz نشون داد که با زنجیر کردن چند تا از این مقادیر، میشه از محافظت‌ها و محدودیت‌های داخلی رد شد و در نهایت به اجرای کد از راه دور رسید.
اما جذاب‌ترین بخش ماجرا نحوه کشف این باگه. محقق امنیتی Wiz به اسم Sagi Tzadik توضیح می‌ده که تیمشون از سپتامبر ۲۰۲۴ دنبال آسیب‌پذیری در GitHub Enterprise Server بودن، ولی حجم باینری‌های کامپایل‌شده‌ای که باید آنالیز می‌شد، از نظر زمانی و هزینه‌ای صرف نمی‌کرد. تخمین می‌زدن این کار چند هفته تا چند ماه طول بکشه.
اینجا بود که IDA MCP وارد میدان شد؛ یه دستیار هوش مصنوعی برای reverse engineering که بهش می‌گن «vibe reverse-engineering». با کمک این ابزار، Wiz تونست باینری‌های بسته گیت‌هاب رو سریع آنالیز کنه، پروتکل‌های داخلی رو بازسازی کنه و به‌صورت سیستماتیک بفهمه کجا ورودی کاربر می‌تونه روی رفتار سرور تأثیر بذاره. نتیجه؟ از ایده تا یه اکسپلویت کار کرده، کمتر از ۴۸ ساعت.
Tzadik تأکید می‌کنه که نرم‌افزارهای closed-source تاریخاً بیشترین ریسک‌های امنیتی رو داشتن چون کمتر بررسی می‌شدن. ولی الان با بهبود مدل‌های هوش مصنوعی، reverse engineering باینری‌های بسته خیلی سریع‌تر، آسون‌تر و ارزون‌تر شده. علاوه بر این، AI این امکان رو می‌ده که به‌جای کار روی چند پروژه محدود، پایپلاین‌های خودکار روی چندین هدف هم‌زمان اجرا بشن.
این باگ روی GitHub Enterprise Server، github.com، GitHub Enterprise Cloud، GitHub Enterprise Cloud with Data Residency و GitHub Enterprise Cloud with Enterprise Managed Users تأثیر می‌ذاشت. نسخه‌های cloud پچ شدن و نیازی به اقدام کاربر نیست، ولی کاربران Enterprise Server باید به نسخه‌های ۳.۱۴.۲۴، ۳.۱۵.۱۹، ۳.۱۶.۱۵، ۳.۱۷.۱۲، ۳.۱۸.۶ یا ۳.۱۹.۳ آپگرید کنن. در زمان انتشار گزارش Wiz، هنوز ۸۸٪ از نمونه‌ها آسیب‌پذیر بودن.
نکات کلیدی:
- آسیب‌پذیری CVE-2026-3854 در GitHub Enterprise Server امکان اجرای کد از راه دور رو برای مهاجم با دسترسی push فراهم می‌کنه
- امتیاز CVSS این باگ ۸.۷ (پرخطر) هست
- ریشه مشکل: sanitization ناکافی push options در متادیتای داخلی گیت‌هاب
- Wiz با ابزار هوش مصنوعی IDA MCP تونست این باگ رو در کمتر از ۴۸ ساعت کشف کنه، در حالی که قبلاً هفته‌ها زمان می‌برد
- GitHub در کمتر از ۲ ساعت پچ رو اعمال کرد و هیچ اکسپلویتی تأیید نشده
- کاربران GitHub Enterprise Server باید فوری آپگرید کنن؛ ۸۸٪ نمونه‌ها هنوز آسیب‌پذیر بودن
- این رویداد نشون می‌ده AI داره نحوه کشف آسیب‌پذیری در نرم‌افزارهای closed-source رو متحول می‌کنه
