GitLab ចេញកំណែទម្រង់ជួសជុលចន្លោះប្រហោងកម្រិតធ្ងន់ធ្ងរ 9.9 លើសេវាកម្ម AI Gateway

ក្រុមហ៊ុន GitLab បានប្រកាសចេញផ្សាយនូវកំណែទម្រង់ជួសជុលបន្ទាន់ សម្រាប់ចន្លោះប្រហោងសុវត្ថិភាពកម្រិតធ្ងន់ធ្ងរបំផុតមួយ ដែលត្រូវបានរកឃើញនៅក្នុងសេវាកម្ម AI Gateway របស់ខ្លួន។ ភាពងាយរងគ្រោះនេះ អាចផ្តល់លទ្ធភាពឱ្យជនខិលខូច ឬអ្នកប្រើប្រាស់ធ្វើការបញ្ជា និងប្រតិបត្តិកូដដោយផ្ទាល់នៅលើម៉ាស៊ីនមេ (Server) របស់ស្ថាប័នបាន។

ការរកឃើញចន្លោះប្រហោងសុវត្ថិភាពកម្រិតធ្ងន់ធ្ងរ

យោងតាមសេចក្តីរាយការណ៍ ចន្លោះប្រហោងសុវត្ថិភាពនេះត្រូវបានកំណត់កូដសម្គាល់ថា CVE-2026-90970 ដោយទទួលបានពិន្ទុវាយតម្លៃកម្រិតគ្រោះថ្នាក់ខ្ពស់រហូតដល់ CVSS 9.9 ដែលចាត់ទុកជាកម្រិតធ្ងន់ធ្ងរ (Critical)។ ភាពងាយរងគ្រោះនេះកើតមានឡើងនៅក្នុងសេវាកម្ម AI Gateway ដែលជាសមាសភាគគន្លឹះមួយក្នុងការតភ្ជាប់ និងដំណើរការមុខងារបញ្ញាសិប្បនិម្មិត។

តាមរយៈចំណុចខ្សោយនេះ អ្នកប្រើប្រាស់វេទិកា Duo Agent ដែលមានគណនីប្រើប្រាស់ស្របច្បាប់ អាចទាញយកផលប្រយោជន៍ដើម្បីដំណើរការការបញ្ជា និងប្រតិបត្តិកូដ (Command Execution) នៅលើ Server របស់ស្ថាប័នដែលប្រើប្រាស់ប្រព័ន្ធគ្រប់គ្រងដោយខ្លួនឯង (Self-hosted Servers) បានដោយជោគជ័យ។

ផលប៉ះពាល់ និងកត្តាសំខាន់ៗនៃបញ្ហាសុវត្ថិភាព

បញ្ហាសុវត្ថិភាពនេះមានហានិភ័យខ្ពស់ដោយសារតែកត្តាសំខាន់ៗមួយចំនួន៖

• ការដំឡើងសិទ្ធិគ្រប់គ្រង៖ អ្នកប្រើប្រាស់ដែលមានគណនីធម្មតាអាចពង្រីកសិទ្ធិរបស់ខ្លួន (Privilege Escalation) ដើម្បីចូលទៅគ្រប់គ្រងលើម៉ាស៊ីនមេ AI Gateway ទាំងមូលរបស់ស្ថាប័ន។
• ការគំរាមកំហែងដល់កូដប្រភព៖ នៅពេលដែលម៉ាស៊ីនមេត្រូវបានគ្រប់គ្រង កូដប្រភព (Source Code) របស់គម្រោងអភិវឌ្ឍន៍ផ្សេងៗអាចនឹងប្រឈមមុខនឹងការលួចចូលមើល ឬកែប្រែដោយគ្មានការអនុញ្ញាត។
• ទិន្នន័យរសើបរងការគំរាមកំហែង៖ ព័ត៌មានសម្ងាត់ និងទិន្នន័យរសើបដែលស្ថិតនៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធរបស់ស្ថាប័នអាចនឹងត្រូវបែកធ្លាយ។

ក្រុមគោលដៅដែលត្រូវប្រុងប្រយ័ត្ន និងចាត់វិធានការ

ស្ថាប័ន និងបុគ្គលិកបច្ចេកវិទ្យាដែលគួរយកចិត្តទុកដាក់ និងតាមដានបញ្ហានេះជាបន្ទាន់រួមមាន៖

• ស្ថាប័ន និងក្រុមហ៊ុនដែលកំពុងប្រើប្រាស់ GitLab ប្រភេទគ្រប់គ្រងដោយខ្លួនឯង (GitLab Self-Hosted)។
• អ្នកគ្រប់គ្រងប្រព័ន្ធ និងវេទិកាបញ្ញាសិប្បនិម្មិត (AI Platform Administrators)។
• ក្រុមអ្នកអភិវឌ្ឍន៍សូហ្វវែរ (Software Developers) និងវិស្វករផ្នែកសុវត្ថិភាពព័ត៌មានវិទ្យា។

អនុសាសន៍ និងជំហានបន្ទាប់

ដើម្បីការពារប្រព័ន្ធកុំឱ្យរងការវាយប្រហារ ស្ថាប័ននានាដែលដំណើរការ GitLab Self-Hosted និងសេវាកម្ម AI Gateway ត្រូវតែពិនិត្យមើល និងធ្វើបច្ចុប្បន្នភាពប្រព័ន្ធរបស់ខ្លួនទៅកាន់កំណែទម្រង់ជួសជុលចុងក្រោយបំផុតដែល GitLab បានដាក់ចេញឱ្យបានឆាប់រហ័ស។ ការអនុវត្តបំណះសុវត្ថិភាពទាន់ពេលវេលា គឺជាវិធានការចាំបាច់បំផុតក្នុងការទប់ស្កាត់ការជ្រៀតចូលប្រព័ន្ធ និងការពារសុវត្ថិភាពទិន្នន័យរបស់ស្ថាប័ន។

ប្រភព: The Hacker News

អានប្រភពដើម