--exec='malicious command'--execتفاصيل الاختراق في لمحة:
--exec متبوعاً بالأمر الذي يريد تنفيذه الباحث الأمني جونا بورغيس من Rapid7 Labs الذي اكتشف الثغرة شرح الآلية بوضوح: 'تسمح الثغرة لأي مستخدم مسجل بتحقيق تنفيذ أوامر عن بُعد (RCE) على الخادم عن طريق إنشاء طلب سحب باسم فرع خبيث يحقن خيار --exec في git rebase
لمن تابعوا مشروع Gogs، هذه الثغرة ليست مفاجأة على الإطلاق. إنها أحدث وأخطر مثال على نمط متكرر منذ سنوات: تقارير أمنية حرجة تقابل بالصمت من المطور الرئيسي والوحيد للمشروع.
الجدول الزمني للإهمال موثق جيداً:
هذا التاريخ جعل أحدث كشف علني من Rapid7 أكثر من مجرد تحذير أمني. كما علق أحد المحللين، أصبح الوضع 'تذكيراً بالقيود التي تواجهها المشاريع مفتوحة المصدر' عندما تعتمد كلياً على مطور واحد غير مستجيب .
بما أن الرقعة البرمجية (Patch) غير متوفرة، يجب على مدراء الأنظمة الاعتماد على تغييرات في الإعدادات لحماية خوادمهم. الخطوات التالية توقف التهديد المباشر.
1. تعطيل 'Rebase before merging' فوراً
هذا هو الإجراء الأكثر فعالية على الإطلاق. سلسلة الهجوم بأكملها تعتمد على خيار الدمج هذا تحديداً. قم بتغيير إعدادات المستودع أو الإعدادات العامة للمنصة إلى 'Merge commit' أو 'Squash' لتجنب الكود المصاب .
2. تقييد الوصول الشبكي
الهجوم يتطلب الوولج عبر HTTP بمستخدم مسجل. إذا كان خادم Gogs لا يحتاج أن يكون عاماً، انقله خلف شبكة VPN أو جدار ناري يسمح فقط للمستخدمين الموثوقين. هذا يزيل المنصة من رادارات المسح الجماعي على الإنترنت.
3. تضييق صلاحيات التسجيل
بما أن أي شخص بحساب يمكنه استغلال الثغرة، قلل عدد الحسابات إلى الحد الأدنى. عطّل التسجيل الذاتي واجعل الموافقة على الحسابات يدوية. قم الآن بمراجعة قائمة المستخدمين وأوقف أي حسابات غير نشطة أو مجهولة .
4. مراقبة طلبات السحب المشبوهة
راقب أسماء الفروع في طلبات السحب بحثاً عن رموز استثنائية، مثل الشَرطتين (--)، الفاصلة المنقوطة، أو أوامر مثل exec، curl، أو wget. اسم فرع غير طبيعي هو دليل قوي على محاولة اختراق .
5. خطط للخروج طويل الأمد من Gogs
نظراً للنمط الموثق للثغرات الحرجة غير المصححة، الاستمرار في استخدام Gogs بات مخاطرة استراتيجية. البديل الأكثر واقعية هو Gitea، وهو تفرع مجتمعي من Gogs يدار من قبل فريق من المطورين المستجيبين والنشطين. بالنسبة للفرق التي اختارت Gogs تحديداً لخفته وسهولة استضافته، فإن Gitea هو البديل الأقرب الذي يحل مشكلة الاعتماد على مطور واحد .
6. استعد للتحديث (إذا جاء)
ابقَ مشتركاً في صفحة الأمان الرسمية لـ Gogs وإصدارات GitHub. إذا صدر تحديث في أي وقت، قم بالترقية فوراً. ولكن خطط لوضعك الأمني على افتراض أن هذا النمط سيتكرر، وأن ثغرة حرجة قادمة ستبقى بلا تحديث لأشهر مرة أخرى.
Comments
0 comments