GitLab में ऐसी कमज़ोरी मिली जिससे हैकर सर्वर पर कंट्रोल ले सकता है
Center for Internet Security के मुताबिक GitLab में एक गंभीर कमज़ोरी मिली है। इससे बिना लॉगिन किए कोई हैकर सर्वर पर अपना कोड चला सकता है। यह खतरा खासकर सॉफ्टवेयर बनाने वाली कंपनियों और टीमों के लिए है।
GitLab एक ऐसा प्लेटफ़ॉर्म है जिस पर सॉफ्टवेयर बनाने वाली टीमें अपना कोड रखती हैं, उसे जाँचती हैं, काम का हिसाब रखती हैं और मिलकर काम करती हैं। Center for Internet Security ने बताया है कि इसमें एक कमज़ोरी पाई गई है।
रिपोर्ट के मुताबिक इस कमज़ोरी का फ़ायदा उठाकर हैकर GitLab के सर्वर पर अपनी मर्ज़ी का कोड चला सकता है। इसे रिमोट कोड एक्ज़ीक्यूशन कहते हैं, यानी दूर बैठे-बैठे किसी दूसरे के कंप्यूटर पर अपना प्रोग्राम चला देना।
हमले के लिए हैकर को अकाउंट या पासवर्ड की ज़रूरत नहीं पड़ती। वह CI/CD कॉन्फ़िगरेशन में एक खास तरह से बनाया गया रेगुलर एक्सप्रेशन (टेक्स्ट में पैटर्न ढूँढने का नियम) डालकर यह कर सकता है। CI/CD वह सेटअप है जो कोड को अपने आप जाँचता और आगे भेजता है।
रिपोर्ट के अनुसार कामयाब हमले में पूरा सिस्टम हैकर के कब्ज़े में जा सकता है। कितने लोग प्रभावित हैं या कौन-सा वर्शन कमज़ोर है, इसकी पूरी जानकारी मूल रिपोर्ट में है।
आपके लिए इसका मतलब
आम पाठक सीधे GitLab नहीं चलाता, पर जिन ऐप और वेबसाइट को सॉफ्टवेयर कंपनियाँ ऐसे सर्वर से बनाती हैं, उनका कोड चोरी या गड़बड़ हो सकता है। इसलिए कंपनियों का समय पर अपडेट करना ज़रूरी है।
आप क्या करें
- अगर आपकी कंपनी या टीम GitLab चलाती है, तो अपने आईटी विभाग से कहें कि कंपनी का दिया सुरक्षा अपडेट जल्द लगाए।
- GitLab सर्वर को खुले इंटरनेट पर बेवजह न रखें और उसकी पहुँच सीमित रखें।
ये शब्द समझ लें
- रिमोट कोड एक्ज़ीक्यूशन
- दूर बैठकर किसी के कंप्यूटर या सर्वर पर अपना प्रोग्राम चला देना।
- CI/CD
- वह सेटअप जो सॉफ्टवेयर के कोड को अपने आप जाँचता और आगे भेजता है।
- रेगुलर एक्सप्रेशन
- टेक्स्ट में कोई पैटर्न ढूँढने का छोटा नियम।
यह खबर PT24 ने AI की सहायता से, स्रोत की रिपोर्ट के आधार पर अपने शब्दों में समझाई है। स्रोत के अपने शब्द नीचे बिना बदलाव के हैं।
मूल शीर्षक: A Vulnerability in GitLab Could Allow for Remote Code Execution
A vulnerability has been discovered in GitLab that could allow for remote code execution. GitLab is a DevOps platform that provides source code management, CI/CD pipelines, issue tracking, and collaboration tools in a single application for software development teams. Successful exploitation of this vulnerability could allow an unauthenticated attacker to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration. Successful exploitation could result in complete compromise of the affected system.
This is the part of the report Center for Internet Security allows PT24 to show. The full report is on its site.
Read more at Center for Internet Security