GitLab-ის მაქსიმალური სიმძიმის ხარვეზი დისტანციური კოდის გაშვების საშუალებას იძლეოდა

GitLab-მა ოთხშაბათს მაქსიმალური სიმძიმის ხარვეზი გამოასწორა. გარკვეულ პირობებში, ის არაავტორიზებულ თავდამსხმელებს თვითმართვად სერვერებზე ნებისმიერი კოდის გაშვების საშუალებას აძლევდა. დაზიანებული პროგრამული უზრუნველყოფის გამოშვებები 12 წლის წინანდელია, ამიტომ დაუყოვნებლივ განაახლეთ პროგრამა შესწორებულ ვერსიამდე.

მთელი რიცხვის გადავსების ხარვეზი, რომელსაც CVE-2026-110264 კოდი მიენიჭა, GitLab Community Edition-ის (CE) და Enterprise Edition-ის (EE) რეგულარული გამოსახულებების კომპილაციას ეხება. ის GitLab 7.0-ის ჩათვლით ვერსიებს მოიცავს. ეს ვერსია 2014 წლის ივნისში გამოვიდა.

კომპანიამ გამოშვების შენიშვნებში აღნიშნა, რომ ხარვეზი გარკვეულ პირობებში არაავტორიზებულ მომხმარებელს GitLab-ის სერვერზე ნებისმიერი კოდის გაშვების საშუალებას მისცემდა, სპეციალურად შექმნილი რეგულარული გამოსახულების კომპილაციისას მთელი რიცხვის გადავსების გამო.

GitLab-მა შესწორებები 19.5.1, 19.4.3 და 19.3.6 ვერსიებში გამოუშვა. მან პატჩი უფრო ძველ ვერსიებშიც გადაიტანა: 19.2.9, 19.1.9, 19.0.10 და 18.11.13. კომპანია ყველა ორგანიზაციას, რომელიც მოწყვლად პროგრამულ უზრუნველყოფას იყენებს, „მტკიცედ ურჩევს“, რაც შეიძლება მალე განაახლონ ის შესწორებულ ვერსიამდე.

GitLab-ის მიერ მართულ ინფრასტრუქტურაში, მათ შორის GitLab.com-სა და GitLab Dedicated-ში, ხარვეზი უკვე შესწორებულია. კომპანიამ თვითმართვადი სერვერების მქონე მომხმარებლებისთვის საფრთხეების აღმოჩენის ორი საშუალებაც გამოუშვა.

ხარვეზი მონადირე იოჰან კარლსონმა GitLab-ის HackerOne-ის შეცდომების აღმოჩენის პროგრამის მეშვეობით შეატყობინა კომპანიას.

საფრთხეების აღმოჩენის კომპანია SOC Prime-მა გააფრთხილა, რომ თვითმართვადი GitLab-ის ინფრასტრუქტურის მქონე ორგანიზაციებისთვის შესაძლო ზიანი მძიმე იქნებოდა. მისი თქმით, GitLab-ის საცავებში ხშირად ინახება საწყისი კოდი, CI/CD-ის კონფიგურაცია, განთავსების საიდუმლო მონაცემები, წვდომის ნიშნები, ინფრასტრუქტურის აღწერები და კავშირები საწარმოო გარემოებთან. ამიტომ სერვერზე სრული კონტროლის მოპოვებამ შესაძლოა შექმნას პირობები მონაცემების მოპარვის, საცავის შეცვლის, მიწოდების ჯაჭვზე თავდასხმის, სისტემაში დამკვიდრების ან ქსელში გვერდითი გადაადგილებისთვის.

ჯერჯერობით არ არსებობს იმის ნიშანი, რომ თავდამსხმელები ხარვეზს რეალურ გარემოში უკვე იყენებენ. თუმცა, მოსალოდნელია, რომ ისინი მალე მოწყვლადი სისტემების ძებნას დაიწყებენ.

PHP-ის მიმდინარე ქაოსმა შესაძლოა დამცველებს ამჯერად მცირე უპირატესობა მისცა. თუმცა, ხარვეზის CVSS-ის სიმძიმის შეფასება მაქსიმალური, 10 ქულაა, ხოლო GitLab-ს საწარმოებში ფართო გამოყენება აქვს. კომპანიის თქმით, მას 50 მილიონი რეგისტრირებული მომხმარებელი ჰყავს და Fortune 100-ის კომპანიების 50 პროცენტზე მეტი იყენებს. ეს უპირატესობა დიდხანს ვერ შენარჩუნდება.