GitLab แก้ช่องโหว่ AI Gateway ระดับวิกฤต 9.9 บนเซิร์ฟเวอร์ที่โฮสต์เอง

GitLab ออกแพตช์แก้ไขช่องโหว่ร้ายแรงในระบบ AI Gateway ที่มีคะแนนความรุนแรงสูงถึง 9.9 ตามมาตรฐาน CVSS ซึ่งช่องโหว่นี้อาจทำให้ผู้ใช้ที่เข้าสู่ระบบแล้วและมีสิทธิ์เข้าถึง Duo Agent Platform สามารถรันคำสั่งบนเกตเวย์ได้ภายใต้เงื่อนไขบางประการ

ช่องโหว่ดังกล่าวส่งผลกระทบเฉพาะองค์กรที่โฮสต์ AI Gateway ของตนเองเท่านั้น ส่วนผู้ใช้ที่ใช้บริการผ่าน GitLab โดยตรงไม่ได้รับผลกระทบจากปัญหานี้ แต่ผู้ดูแลระบบที่ดูแลเซิร์ฟเวอร์ภายในองค์กรจำเป็นต้องดำเนินการแก้ไขโดยเร่งด่วน

ลักษณะของช่องโหว่

ช่องโหว่นี้อยู่ในส่วน AI Gateway ซึ่งทำหน้าที่เป็นบริการเชื่อมต่อระหว่างอินสแตนซ์ของ GitLab กับโมเดลปัญญาประดิษฐ์ เมื่อผู้โจมตีมีสิทธิ์เข้าถึง Duo Agent Platform และเข้าสู่ระบบเรียบร้อยแล้ว จะสามารถใช้ประโยชน์จากช่องโหว่เพื่อรันคำสั่งบนเซิร์ฟเวอร์เกตเวย์ได้

ด้วยคะแนนความรุนแรงระดับ 9.9 ช่องโหว่นี้ถูกจัดอยู่ในระดับวิกฤต ซึ่งหมายความว่าผู้โจมตีที่ประสบความสำเร็จอาจเข้าควบคุมระบบได้อย่างเต็มรูปแบบ รวมถึงการเข้าถึงข้อมูลที่ไหลผ่านเกตเวย์และการดำเนินการในนามของผู้ดูแลระบบ

ผลกระทบที่อาจเกิดขึ้น

แม้ช่องโหว่จะต้องอาศัยเงื่อนไขหลายประการในการใช้ประโยชน์ แต่ผลกระทบที่เกิดขึ้นอาจรุนแรงมาก หากผู้โจมตีสามารถรันคำสั่งบนเกตเวย์ได้สำเร็จ อาจนำไปสู่การเข้าถึงข้อมูลที่ละเอียดอ่อน การขโมยข้อมูลรับรอง หรือการเคลื่อนย้ายไปยังระบบอื่นภายในเครือข่าย

องค์กรที่ใช้งาน AI Gateway บนโครงสร้างพื้นฐานของตนเองจึงควรตรวจสอบการเข้าถึงและบันทึกการใช้งานอย่างเร่งด่วน เพื่อค้นหาสัญญาณของการโจมตีที่อาจเกิดขึ้นก่อนหน้านี้

เวอร์ชันที่ได้รับการแก้ไข

GitLab ได้ปล่อยแพตช์เพื่อแก้ไขปัญหานี้แล้วในเวอร์ชัน 19.2.4, 19.3.2 และ 19.4.1 ผู้ดูแลระบบที่ใช้งานเวอร์ชันก่อนหน้านี้ควรอัปเดตโดยเร็วที่สุด

นอกจากการอัปเดตแพตช์แล้ว ผู้ดูแลระบบควรตรวจสอบสิทธิ์การเข้าถึง Duo Agent Platform และจำกัดจำนวนผู้ใช้ที่สามารถเข้าถึงฟีเจอร์ดังกล่าว เพื่อลดพื้นที่การโจมตีในอนาคต

คำแนะนำสำหรับผู้ดูแลระบบ

GitLab แนะนำให้องค์กรที่โฮสต์ AI Gateway ด้วยตนเองดำเนินการอัปเดตเป็นเวอร์ชันล่าสุดโดยทันที และตรวจสอบบันทึกการใช้งานเพื่อค้นหาความพยายามในการโจมตีที่อาจเกิดขึ้น

การอัปเดตเป็นเวอร์ชันที่ได้รับการแก้ไขถือเป็นมาตรการที่สำคัญที่สุดในการลดความเสี่ยงจากช่องโหว่นี้ และควรทำควบคู่ไปกับการทบทวนนโยบายการเข้าถึงของผู้ใช้งานทุกราย

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th