تنبيه جيت لاب: حذف المشاريع دون حساب ودون إذن

منصة جيت لاب، التي تستخدمها آلاف الشركات لحفظ كودها المصدري، تعاني من ثغرة أمنية حرجة. خلل في نظام GraphQL الخاص بها يسمح لأي مهاجم، دون الحاجة إلى بيانات اعتماد، بحذف مشاريع عامة كاملة. هذا يعني أن الخدمات والتطبيقات التي يستخدمها المواطنون يوميًا، مثل مواقع البنوك أو المتاجر الإلكترونية، قد تختفي فجأة إذا لم يطبق مطوروها التصحيح الأمني بشكل عاجل.

الثغرة في GraphQL التي تترك الباب مفتوحًا 🚪

يقع الخلل في طبقة استعلامات GraphQL في جيت لاب، وتحديدًا في إدارة الطفرات (mutations). يمكن لطلب معدل بعناية تجاوز المصادقة وتنفيذ أمر الحذف على أي مستودع عام. أصدرت الشركة بالفعل إصدارات مصححة لجميع الإصدارات، بما في ذلك Community وEnterprise. التوصية واضحة: التحديث إلى أحدث إصدار متاح فورًا. عدم القيام بذلك يعرض سنوات من العمل لهجوم بسيط لا يتطلب حتى التسجيل في المنصة.

كودك، جهدك، وحذف سريع 🗑️

قد يظن المرء أنه لحذف شيء قيم مثل الكود المصدري لشركة، سيلزم على الأقل كلمة مرور، أو بطاقة وصول، أو طقوس معقدة. لكن لا، مع جيت لاب يكفي طلب معد جيدًا وقليل من الحقد. الأمر يشبه أن يتمكن شخص غريب من دخول منزلك وإلقاء جميع أقراصك الصلبة في سلة المهملات دون حتى أن يقرع جرس الباب. حدّثوا، أو استعدوا لشرح لمديركم أن المشروع الرئيسي اختفى لمجرد عدم الضغط على زر التحديث.