ช่องโหว่ด้านความปลอดภัยที่เพิ่งถูกเปิดเผยใน GitLab ได้ถูกนำไปใช้ในการโจมตีจริงแล้ว ภายในเวลาเพียงไม่กี่วันหลังจากถูกเปิดเผยต่อสาธารณะ ตามข้อมูลจาก watchTowr
ช่องโหว่ดังกล่าวคือ CVE-2026-19478 (CVSS 9.4) ซึ่งเป็นช่องโหว่ประเภท Code injection ที่ทำให้ผู้โจมตีที่ไม่จำเป็นต้องผ่านการยืนยันตัวตน สามารถแก้ไข หรือลบโปรเจกต์บน GitLab ที่เปิดให้เข้าถึงแบบสาธารณะ รวมถึงเขียนข้อมูลของโปรเจกต์เหล่านั้นใหม่ได้ภายใต้เงื่อนไขบางประการ โดยไม่จำเป็นต้องใช้ข้อมูลยืนยันตัวตน, ไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ และไม่ต้องมีการตั้งค่าที่ผิดไปจากปกติแต่อย่างใด
เวอร์ชันของ GitLab Community Edition (CE) และ Enterprise Edition (EE) ที่ได้รับผลกระทบจากช่องโหว่นี้ มีดังต่อไปนี้
- 18.2 ก่อนเวอร์ชัน 18.11.11
- 19.0 ก่อนเวอร์ชัน 19.0.8
- 19.1 ก่อนเวอร์ชัน 19.1.6
- 19.2 ก่อนเวอร์ชัน 19.2.4
ในประกาศแจ้งเตือนที่เผยแพร่เมื่อช่วงต้นสัปดาห์ที่ผ่านมา GitLab ระบุว่า ช่องโหว่นี้สามารถถูกใช้โจมตีได้ผ่าน GraphQL Directive โดยแพตช์แก้ไขได้ถูกปล่อยออกมาแล้วใน GitLab CE และ EE เวอร์ชัน 19.2.4, 19.1.6, 19.0.8 และ 18.11.11
watchTowr ซึ่งเป็นบริษัทด้านการบริหารจัดการความเสี่ยงเชิงรุก (Preemptive Exposure Management) ได้เปิดเผยกับ The Hacker News ว่า ทางบริษัทสามารถทำซ้ำการโจมตีผ่านช่องโหว่นี้ได้ภายในเวลาไม่กี่นาทีหลังจากที่ช่องโหว่ถูกเปิดเผย พร้อมระบุเพิ่มเติมว่า ได้ตรวจพบการโจมตีจริงที่เกิดขึ้นกับเครือข่าย Honeypot ของบริษัทด้วย
Jake Knott หัวหน้านักวิจัยด้านความปลอดภัยจาก watchTowr ระบุว่า "นี่คือความเป็นจริงรูปแบบใหม่ของการทำซ้ำ และการใช้ประโยชน์จากช่องโหว่ ซึ่งกลุ่มผู้โจมตีที่มี AI เป็นเครื่องมือ สามารถบีบระยะเวลาตั้งแต่การเปิดเผยช่องโหว่ไปจนถึงการโจมตีให้สั้นลงได้ และการรอจนถึงรอบการติดตั้งแพตช์ครั้งถัดไปนั้นมักจะสายเกินไป"
โดยบริษัทระบุเพิ่มเติมว่า "องค์กรที่ยังไม่ได้ติดตั้งแพตช์ ควรตรวจสอบ Web Log เพื่อค้นหา Request ที่มีคำว่า '@gl_introduced' อยู่ รวมถึงมองหาร่องรอยของการสำรวจระบบ หรือความพยายามในการโจมตี"
watchTowr ยังระบุด้วยว่า ผลกระทบของช่องโหว่นี้ไม่ได้จำกัดอยู่เพียงความสามารถในการแก้ไข หรือลบ Public โปรเจกต์เท่านั้น โดยระบุเพิ่มเติมว่า "ผู้โจมตีสามารถลบ Repository ทั้งหมดทิ้งได้, ปลอมแปลงประวัติการ Merge เพื่อทำให้ดูเหมือนว่ามีการแก้ไขปัญหาเกิดขึ้นแล้วทั้งที่ยังไม่ได้แก้ไขจริง และแบนผู้ดูแลโปรเจกต์ออกจากระบบได้"
เหตุการณ์นี้แสดงให้เห็นอีกครั้งว่า AI กำลังเปลี่ยนแปลงความเร็ว และขนาดของการโจมตีไปอย่างรวดเร็ว จึงเป็นเรื่องสำคัญอย่างมากที่ผู้ใช้งานจะต้องติดตั้งอัปเดตให้ทันเวลา
องค์กรที่ใช้งาน GitLab แบบ Self-hosted ซึ่งเปิดให้เข้าถึงได้จากอินเทอร์เน็ต ควรให้ความสำคัญกับการอัปเกรดไปยังเวอร์ชันที่ได้รับการแก้ไขแล้วเป็นลำดับแรก และหากไม่สามารถติดตั้งแพตช์ได้ในทันที แนะนำให้จำกัดการเข้าถึง `/api/graphql` จากผู้ที่ไม่ผ่านการยืนยันตัวตน หรือปิดการเข้าถึง Repository แบบสาธารณะทั้งหมด เพื่อเป็นแนวทางลดผลกระทบ
ที่มา : thehackernews
You must be logged in to post a comment.