==============================================================================
  CISA SUMA A KEV FALLA CRÍTICA CVSS 10 EN GITLAB
==============================================================================

  Fuente:      https://www.vantis.cl/noticias/gitlab-cve-2026-85706-kev-explotacion-activa
  Publicado:   2026-09-14  (hora de Chile)
  Ambito:      global   ·   Criticidad: critica
  Descargado:  2026-10-12 06:21  (hora de Chile)

  COMO USAR ESTE ARCHIVO
  ----------------------
  La regla SIGMA es la canonica: es el formato neutral del que se derivan
  las demas. Si tu SIEM no aparece aca, convierte esa con pySigma.

  Las traducciones a motores concretos se incluyen por conveniencia y
  ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de
  tabla, indice y campo antes de ponerlas en produccion. Una regla que
  no dispara por un campo mal escrito es peor que no tener regla.

  QUE NECESITAS TENER LOGUEADO
  ----------------------------
  · Logs de acceso y auditoría de GitLab (production.log, gitlab-workhorse)
  · Logs de WAF / reverse proxy frente a la instancia GitLab
  · Logs de firewall perimetral / proxy saliente

==============================================================================
  REGLA 1 de 3   ·   SIGMA (canonica, neutral)
  Posible path traversal contra API de commits de GitLab
==============================================================================
  Requiere: Logs de acceso web/proxy con campos de URI y query string (nginx access log, WAF log)

title: Posible Path Traversal en API de Commits de GitLab (CVE-2026-85706)
id: d3f4a1c2-8b7e-4f9a-9c3d-1a2b3c4d5e6f
status: experimental
description: Detecta solicitudes HTTP hacia la API de commits de GitLab que contienen secuencias de path traversal, consistentes con la explotación de CVE-2026-85706.
references:
    - https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-one-known-exploited-vulnerability-catalog
    - https://www.cve.org/CVERecord?id=CVE-2026-85706
author: Vantis
date: 2026-09-15
logsource:
    category: webserver
detection:
    selection_endpoint:
        cs-uri-stem|contains: '/repository/commits'
    selection_traversal:
        cs-uri-query|contains:
            - '../'
            - '..%2f'
            - '%2e%2e%2f'
            - '..%252f'
    condition: selection_endpoint and selection_traversal
falsepositives:
    - Herramientas de escaneo de seguridad interno autorizadas
    - Nombres de rama o rutas de archivo legítimas con puntos consecutivos (poco común)
level: high

==============================================================================
  REGLA 2 de 3   ·   SPLUNK - SPL
  Path traversal contra API de commits de GitLab
==============================================================================
  Requiere: Índice con logs de proxy/WAF frente a GitLab, con campos src_ip, uri_path, uri_query normalizados

index=proxy OR index=web sourcetype=nginx:access OR sourcetype=waf
| regex uri_path="/repository/commits"
| regex uri_query="(\.\.\/|\.\.%2f|%2e%2e%2f|\.\.%252f)"
| stats count by src_ip, uri_path, uri_query, dest
| where count > 0

==============================================================================
  REGLA 3 de 3   ·   MICROSOFT SENTINEL - KQL
  Path traversal contra API de commits de GitLab en logs WAF
==============================================================================
  Requiere: Tabla CommonSecurityLog poblada por el WAF o reverse proxy frente a la instancia GitLab

CommonSecurityLog
| where DeviceVendor has_any ("WAF", "F5", "Cloudflare", "Azure")
| where RequestURL has "/repository/commits"
| where RequestURL matches regex @"(\.\.\/|\.\.%2f|%2e%2e%2f|\.\.%252f)"
| project TimeGenerated, SourceIP, RequestURL, DeviceVendor, DeviceAction
| sort by TimeGenerated desc

==============================================================================
  FALSOS POSITIVOS ESPERABLES
==============================================================================

  Herramientas internas de escaneo de vulnerabilidades (DAST) que prueban
  path traversal contra la misma instancia generarán coincidencias
  legítimas; hay que excluir sus rangos IP conocidos. Nombres de rama con
  secuencias de puntos consecutivos son extremadamente inusuales pero no
  imposibles; conviene revisar manualmente antes de bloquear
  automáticamente.

==============================================================================
  Vantis Chile SpA  ·  https://www.vantis.cl/noticias
  Analisis con fines defensivos. Reutilizable citando la fuente.
==============================================================================