تیم امنیتی GitLab در اطلاعیه‌ای فوری، از کشف یک آسیب‌پذیری با سطح خطر بسیار بالا در سرویس AI Gateway خبر داده است که می‌تواند منجر به اجرای کدهای دلخواه از راه دور (Remote Code Execution – RCE) در نمونه‌های تحت تأثیر شود. با توجه به ماهیت این آسیب‌پذیری و امکان دسترسی مهاجمان به زیرساخت‌های پردازشی حساس، به‌روزرسانی فوری تمامی نمونه‌های مستقر در محیط‌های عملیاتی به نسخه‌های امن ضروری است.
شناسایی ریشه فنی آسیب‌پذیری
این رخنه امنیتی که به مهاجمان اجازه می‌دهد بدون احراز هویت، کدهای مخرب خود را روی سرورهای میزبان AI Gateway اجرا کنند، به ضعف در نحوه پردازش درخواست‌های ورودی در این سرویس بازمی‌گردد. سرویس AI Gateway که وظیفه تسهیل تعامل میان مدل‌های هوش مصنوعی و زیرساخت‌های گیت‌لب را بر عهده دارد، در صورت عدم اعمال وصله‌های امنیتی، به عنوان دروازه‌ای برای نفوذ به لایه‌های زیرین سیستم عمل می‌کند.
ابعاد و پیامدهای امنیتی RCE
اجرای کد از راه دور (RCE) یکی از خطرناک‌ترین انواع آسیب‌پذیری‌ها در معماری نرم‌افزاری محسوب می‌شود. در این سناریو، مهاجم می‌تواند با ارسال درخواست‌های ساخته‌شده به‌صورت هدفمند (Crafted Payloads)، کنترل فرآیند در حال اجرا را در دست گرفته و به داده‌های محیطی، توکن‌های دسترسی به مدل‌های زبانی (LLM) و حتی سایر منابع متصل به شبکه ابری دسترسی پیدا کند. از آنجایی که AI Gateway غالباً با دسترسی‌های سطح بالا در کلاسترها اجرا می‌شود، ریسک گسترش نفوذ (Lateral Movement) بسیار بالاست.
اقدامات اصلاحی و استراتژی‌های کاهش ریسک
گیت‌لب به تمامی مدیران سیستم و متخصصان DevOps توصیه می‌کند مراحل زیر را به صورت فوری دنبال کنند:
- بررسی نسخه‌های مستقر: تطبیق نسخه فعلی با نسخه‌های آسیب‌پذیر منتشر شده در مستندات امنیتی گیت‌لب.
- اعمال پچ (Patching): به‌روزرسانی بلافاصله سرویس به آخرین نسخه پایدار که وصله‌های امنیتی در آن لحاظ شده است.
- بررسی لاگ‌های دسترسی: پایش لاگ‌های ورودی به AI Gateway برای شناسایی هرگونه فعالیت غیرعادی یا درخواست‌های مشکوک به تزریق دستور.
- ایزولاسیون شبکه: در صورت عدم امکان به‌روزرسانی فوری، دسترسی به این سرویس باید از طریق فایروال‌های لایه اپلیکیشن (WAF) محدود شود.
مشخصات و جزئیات آسیب‌پذیری
- نوع آسیب‌پذیری: Remote Code Execution (RCE)
- سرویس تحت تأثیر: GitLab AI Gateway
- سطح اهمیت: Critical (بحرانی)
- پیش‌نیاز بهره‌برداری: دسترسی شبکه به سرویس AI Gateway
- اقدام فوری: به‌روزرسانی به نسخه‌های امن اعلام شده توسط GitLab
جمع‌بندی؛ ضرورت مدیریت وصله در سرویس‌های مبتنی بر هوش مصنوعی
با گسترش روزافزون استفاده از هوش مصنوعی در خط لوله‌های CI/CD، سرویس‌هایی نظیر AI Gateway به اهداف جذاب و حیاتی برای مهاجمان سایبری تبدیل شده‌اند. این حادثه نشان می‌دهد که لایه‌های ابزاری هوش مصنوعی باید دقیقاً مانند سایر اجزای زیرساخت حساس، تحت پروتکل‌های سخت‌گیرانه مدیریت آسیب‌پذیری قرار گیرند. کاربران می‌توانند برای جزئیات بیشتر و دریافت آخرین به‌روزرسانی‌ها به وب‌سایت GitLab مراجعه کنند.
