GitLab foydalanuvchilari ogoh bo‘ling: tizimni ishdan chiqaruvchi zaifliklar aniqlandi

Kiberxavfsizlik mutaxassislari GitLab platformasida bir nechta xavfli zaifliklar aniqlanganini e’lon qilishdi. GitLab — butun dunyo bo‘ylab millionlab dasturchilar foydalanadigan mashhur DevOps platformasi bo‘lib, bu zaifliklar orqali hujumchilar tizimni ishdan chiqarishlari (DoS hujumi) mumkin.

GitLab ushbu xavflarni bartaraf etish uchun 2025-yilning eng yirik xavfsizlik yangilanishini chiqardi. 18.0.1, 17.11.3 va 17.10.7 versiyalari bilan jami 11 ta zaiflik tuzatildi. Bu zaifliklar resurslar tugashiga olib keluvchi hujumlar, autentifikatsiyani chetlab o‘tish, va ma’lumotlar sizib chiqishi xavfi bilan bog‘liq.

Zaifliklardan eng xavflisi CVE-2025-0993 raqamiga ega bo‘lib, 7.5 ballik xavf darajasiga ega. Bu xatolik tufayli tizimga kirish huquqiga ega foydalanuvchi maxsus tuzilgan, juda katta hajmdagi fayllar (blob) yuborish orqali server resurslarini tugatib qo‘yishi mumkin.

❗ Blob — bu Git’da har bir faylning ichki mazmuni saqlanadigan obyekt. GitLab bloblar uchun 10 MB dan katta fayllarga daqiqasiga 5 so‘rov limitini qo‘ygan, biroq bu zaiflik bu cheklovni chetlab o‘tishga imkon bergan.

Bu holat GitLab platformasida kuzatilgan uzoq davom etuvchi ishlamay qolish holatlarining sabablaridan biri bo‘lib, ayniqsa yirik jamoalarda muammolarga sabab bo‘lishi mumkin.

Quyidagi muhim zaifliklar ham ushbu yangilanishda bartaraf etildi:

  • CVE-2025-3111 (CVSS 6.5): Kubernetes integratsiyasida autentifikatsiyadan o‘tgan foydalanuvchilar cheksiz tokenlar hosil qilib, tizimni haddan tashqari yuklashi mumkin.
  • CVE-2025-2853 (CVSS 6.5): GitLab’dagi note (izoh) pozitsiyalarini noto‘g‘ri tekshirish DoS holatiga olib kelishi mumkin.
  • CVE-2024-7803 (CVSS 6.5): Discord webhook integratsiyasida zaiflik mavjud. Foydalanuvchi doimiy so‘rovlar yuborib, tizimni ishdan chiqarishi mumkin.

Tadqiqotlarga ko‘ra, GitLab webhook funksiyalarida tezlik cheklovi (rate limiting) yo‘qligi sababli hujumchilar bu funksiyani DoS hujumi uchun suiste’mol qilishlari mumkin.

GitLab kompaniyasi administratorlarga quyidagi choralarni ko‘rishni qat’iy tavsiya qilmoqda:

  1. Darhol yangilang: Belgilangan versiyalarga o‘ting (18.0.1, 17.11.3 yoki 17.10.7). GitLab.com allaqachon yangilangan.
  2. Foydalanuvchi kiritmalarini tekshiring: Zaifliklarning ko‘pi foydalanuvchidan kelayotgan ma’lumotlarni yetarlicha tekshirmaslik natijasida yuzaga kelgan.
  3. Tizim resurslarini kuzating: htop (xotira va CPU yuklamasi uchun) va dmesg -T -w (yadro loglarini kuzatish) vositalaridan foydalaning.
  4. Blob hajmiga limit qo‘ying: Katta hajmdagi obyektlar bilan ishlaganda, object storage konfiguratsiyasini to‘g‘ri sozlash tavsiya etiladi.

GitLab’dagi ushbu zaifliklar yana bir bor katta tizimlarda xavfsizlikni ta’minlash naqadar murakkab ekanini ko‘rsatmoqda. Ayniqsa, tashqi servislar (Discord, Kubernetes) bilan integratsiyalar, blob kabi yirik fayllar bilan ishlash, foydalanuvchi so‘rovlarini noto‘g‘ri boshqarish — bularning barchasi resurslar tugashiga olib keluvchi hujumlar uchun imkon yaratadi.

✅ Har bir DevOps jamoasi muntazam yangilanishlar kiritib, foydalanuvchi so‘rovlarini qat’iy nazorat qilishga e’tibor qaratishi lozim.

Tizimingiz xavfsiz bo‘lishi — faqat sizning hushyorligingizga bog‘liq.