ช่องโหว่ GitLab ระดับวิกฤต คะแนนเต็ม 10.0 เสี่ยงถูกแฮ็กโดยไม่ต้องล็อกอ

GitLab ได้ปล่อยแพตช์แก้ไขช่องโหว่ร้ายแรงเมื่อวันที่ 21 ตุลาคม ซึ่งช่องโหว่นี้ทำให้ผู้โจมตีสามารถรันโค้ดบนเซิร์ฟเวอร์ที่ติดตั้ง GitLab แบบ self-managed ได้โดยไม่จำเป็นต้องล็อกอินเข้าสู่ระบบ

ความน่ากังวลของปัญหานี้อยู่ที่ขอบเขตของเวอร์ชันที่ได้รับผลกระทบ ซึ่งครอบคลุมทุกเวอร์ชันของซอฟต์แวร์ตั้งแต่เวอร์ชัน 7.0 ที่ปล่อยออกมาเมื่อปี 2014 หรือย้อนหลังไปถึง 12 ปี

รายละเอียดช่องโหว่

ช่องโหว่ดังกล่าวได้รับคะแนนความรุนแรงสูงสุด CVSS 10.0 แสดงให้เห็นว่าเป็นภัยคุกคามระดับวิกฤตที่ต้องดำเนินการแก้ไขทันที ลักษณะของช่องโหว่เป็นแบบ Remote Code Execution หรือ RCE ซึ่งหมายความว่าผู้โจมตีที่อยู่ภายนอกสามารถส่งคำสั่งมารันบนเซิร์ฟเวอร์เป้าหมายได้จากระยะไกล

จุดที่อันตรายที่สุดคือช่องโหว่นี้ไม่ต้องอาศัยข้อมูลล็อกอินใดๆ ทำให้ผู้โจมตีที่รู้จักเซิร์ฟเวอร์เป้าหมายสามารถเข้าถึงและควบคุมระบบได้ทันที

ขอบเขตการได้รับผลกระทบ

ช่องโหว่นี้ส่งผลกระทบต่อผู้ใช้งาน GitLab ที่ติดตั้งบนเซิร์ฟเวอร์ของตนเองเป็นจำนวนมาก เนื่องจากเวอร์ชันที่ได้รับผลกระทบครอบคลุมตั้งแต่เวอร์ชัน 7.0 ที่ออกในปี 2014 จนถึงเวอร์ชันล่าสุดก่อนการแก้ไข

แม้แต่ผู้ดูแลระบบที่อัปเดตแพตช์เมื่อวันที่ 12 ตุลาคม ก็ยังจำเป็นต้องตรวจสอบเพิ่มเติม เนื่องจากแพตช์ในวันดังกล่าวครอบคลุมเฉพาะเวอร์ชัน 19.2 เป็นต้นไปเท่านั้น

การอัปเดตและแพตช์ใหม่

GitLab ปล่อยแพตช์ใหม่ในวันที่ 21 ตุลาคม โดยเวอร์ชันที่ได้รับการแก้ไขจะอยู่ที่ตำแหน่งแพตช์ถัดจากเวอร์ชันที่ปล่อยเมื่อวันที่ 12 ตุลาคม ซึ่งหมายความว่าผู้ดูแลระบบจะต้องอัปเดตอีกครั้งเพื่อให้ครอบคลุมช่องโหว่ทั้งหมด

สำหรับผู้ที่ใช้เวอร์ชันเก่ากว่า 19.2 จำเป็นต้องอัปเกรดไปยังเวอร์ชันที่ได้รับการแก้ไขโดยเร็วที่สุด เพราะไม่ได้รับการคุ้มครองจากแพตช์ก่อนหน้านี้

คำแนะนำสำหรับผู้ดูแลระบบ

ผู้ดูแลระบบที่ใช้งาน GitLab แบบ self-managed ควรตรวจสอบเวอร์ชันที่ติดตั้งอยู่ในปัจจุบันทันที หากใช้เวอร์ชันใดก็ตามตั้งแต่ 7.0 ขึ้นไป ควรวางแผนอัปเดตไปยังเวอร์ชันที่ได้รับการแก้ไขโดยเร็ว

นอกจากการอัปเดตซอฟต์แวร์แล้ว ควรตรวจสอบบันทึกการเข้าถึงและกิจกรรมบนเซิร์ฟเวอร์ย้อนหลัง เพื่อดูว่ามีความพยายามโจมตีหรือการเข้าถึงที่ผิดปกติเกิดขึ้นหรือไม่ การเปิดเผยช่องโหว่ในระดับนี้อาจมีการนำไปใช้โจมตีจริงในช่วงเวลาที่ผ่านมา

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th