GitLab បញ្ចេញកំណែអាប់ដេតបន្ទាន់ដើម្បីដោះស្រាយចន្លោះប្រហោងកម្រិតធ្ងន់ធ្ងរ Critical RCE លើសេវាកម្ម AI Gateway

ក្រុមហ៊ុន GitLab បានបញ្ចេញកំណែអាប់ដេតបន្ទាន់មួយដើម្បីជួសជុលចន្លោះប្រហោងសន្តិសុខកម្រិតធ្ងន់ធ្ងរបំផុត (Critical Vulnerability) ដែលត្រូវបានរកឃើញនៅក្នុងសេវាកម្ម AI Gateway របស់ខ្លួន។ ចន្លោះប្រហោងនេះបង្កហានិភ័យខ្ពស់ដែលអាចបើកផ្លូវឱ្យមានការជ្រៀតចូល និងគ្រប់គ្រងប្រព័ន្ធពីចម្ងាយ។

ការរកឃើញចន្លោះប្រហោងកម្រិតធ្ងន់ធ្ងរ CVE-2026-90970

ចន្លោះប្រហោងសន្តិសុខនេះត្រូវបានកំណត់កូដសម្គាល់ជា CVE-2026-90970 ដោយទទួលបានពិន្ទុវាយតម្លៃកម្រិតគ្រោះថ្នាក់ CVSS ខ្ពស់រហូតដល់ ៩.៩ (9.9 លើ 10)។ ភាពងាយរងគ្រោះនេះជាប្រភេទ Remote Code Execution (RCE) ដែលផ្តល់លទ្ធភាពឱ្យអ្នកប្រើប្រាស់ដែលមានសិទ្ធិអាចដំណើរការកូដ ឬបញ្ជា Command ផ្សេងៗពីចម្ងាយតាមចិត្តនៅលើម៉ាស៊ីនបម្រើការ (Server) របស់ AI Gateway។

ព័ត៌មានលម្អិតអំពីបច្ចេកទេសនៃការវាយប្រហារ

ផ្អែកលើការបញ្ជាក់ បញ្ហានេះអនុញ្ញាតឱ្យអ្នកប្រើប្រាស់ដែលមានសិទ្ធិលើ Duo Agent Platform អាចទម្លុះរបាំង Sandbox នៃ Prompt Template បាន។ នៅពេលដែលរបាំងសុវត្ថិភាពនេះត្រូវបានទម្លុះ ជនអនាមិក ឬអ្នកវាយប្រហារអាចដំណើរការពាក្យបញ្ជា (Command) ដោយសេរីនៅលើម៉ាស៊ីនបម្រើការ AI Gateway ដែលនាំឱ្យប៉ះពាល់ដល់សុវត្ថិភាពប្រព័ន្ធទាំងមូល។

ហេតុអ្វីបានជាបញ្ហានេះមានសារៈសំខាន់?

បច្ចុប្បន្ន ហេដ្ឋារចនាសម្ព័ន្ធបញ្ញាសិប្បនិម្មិត (AI) ដែលត្រូវបានរួមបញ្ចូលនៅក្នុងឧបករណ៍អភិវឌ្ឍន៍ និងបង្កើតកម្មវិធី (DevSecOps) កំពុងក្លាយជាគោលដៅវាយប្រហារថ្មីដ៏សំខាន់សម្រាប់ក្រុមហេគឃ័រ។ ចន្លោះប្រហោងកម្រិត RCE នេះអាចអនុញ្ញាតឱ្យហេគឃ័រលួចជ្រៀតចូល និងគ្រប់គ្រងម៉ាស៊ីនបម្រើការប្រភេទ Self-Hosted របស់ក្រុមហ៊ុន ឬស្ថាប័នដែលកំពុងអភិវឌ្ឍគម្រោង និងកម្មវិធីសម្ងាត់នានា។

អ្នកដែលគួរប្រុងប្រយ័ត្ន និងវិធានការបន្ទាប់

ភាគីពាក់ព័ន្ធដែលរងផលប៉ះពាល់ និងគួរយកចិត្តទុកដាក់ជាពិសេសចំពោះបញ្ហានេះរួមមាន៖

• ក្រុមហ៊ុន និងស្ថាប័នដែលកំពុងប្រើប្រាស់ប្រព័ន្ធ GitLab Self-Managed
• ក្រុមអ្នកបង្កើត និងសរសេរកូដកម្មវិធី (Software Developers)
• វិស្វករ និងអ្នកជំនាញផ្នែក DevSecOps

ក្រុមការងារបច្ចេកវិទ្យា និងគ្រប់គ្រងប្រព័ន្ធទាំងអស់ត្រូវបានណែនាំឱ្យពិនិត្យ និងដំឡើងកំណែអាប់ដេតចុងក្រោយដែល GitLab បានបញ្ចេញឱ្យបានឆាប់រហ័ស ដើម្បីធានាសុវត្ថិភាពហេដ្ឋារចនាសម្ព័ន្ធ និងទប់ស្កាត់ការវាយប្រហារដែលអាចកើតមានឡើងជាយថាហេតុ។

ប្រភព: BleepingComputer

អានប្រភពដើម