هشدار امنیتی: حفره بحرانی گیت‌لب، ۱۲ سال تاریخچه این پلتفرم را تهدید می‌کند

گیت‌لب به‌تازگی یک آسیب‌پذیری بسیار خطرناک با بالاترین سطح ریسک یعنی ۱۰ از ۱۰ را در پلتفرم خود شناسایی و وصله کرده است. این حفره امنیتی که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت، کدهای مخرب خود را روی سرورهای شخصی‌سازی‌شده اجرا کنند، تمامی نسخه‌های منتشر شده از سال ۲۰۱۴ تا به امروز را تحت تأثیر قرار می‌دهد. گستردگی این نقص به قدری است که حتی مدیران سیستمی که به‌تازگی سرورهای خود را به‌روزرسانی کرده بودند نیز باید دوباره دست به کار شوند، چرا که وصله‌های قبلی تنها بخش کوچکی از نسخه‌ها را پوشش می‌دادند.

ریشه این مشکل به موتور پردازش عبارات باقاعده (Regex) در زبان روبی بازمی‌گردد که گیت‌لب از آن استفاده می‌کند. از آنجایی که این موتور در تمامی نسخه‌های ۱۲ سال اخیر گیت‌لب حضور داشته، این شرکت مجبور شده است برخلاف سیاست‌های معمول خود، برای نسخه‌های بسیار قدیمی نیز وصله‌های امنیتی اضطراری منتشر کند. با وجود اینکه هنوز گزارشی از بهره‌برداری فعال از این حفره در دنیای واقعی منتشر نشده، اما به دلیل ماهیت بحرانی آن و عدم ارائه راهکار جایگزین، تنها راه ایمن‌سازی سرورها، ارتقای فوری به نسخه‌های جدیدی است که گیت‌لب در اختیار کاربران قرار داده است.

این رویداد نشان‌دهنده یک روند نگران‌کننده در امنیت زیرساخت‌های گیت‌لب است؛ چرا که این چهارمین آسیب‌پذیری در موتور پردازش عبارات باقاعده این پلتفرم است که تنها در یک ماه گذشته توسط یک محقق امنیتی شناسایی می‌شود. علاوه بر این حفره بحرانی، به‌روزرسانی اخیر شامل اصلاحات دیگری برای مشکلات احراز هویت و سرقت نشست‌های کاربری نیز می‌شود. با توجه به اینکه برخی از این ارتقاها ممکن است باعث ایجاد وقفه در سرویس‌دهی سرورهای تک‌نود شود، مدیران شبکه باید هرچه سریع‌تر برای برنامه‌ریزی جهت اعمال این وصله‌ها اقدام کنند تا از نفوذ احتمالی مهاجمان به زیرساخت‌های حساس خود جلوگیری نمایند.

منبع: The Hacker News — مطلب اصلی را اینجا بخوانید