नतीजों से तीन हफ़्ते पहले: Rapid7 ने GitLab की 10.0 खामी को लाइव प्रोडक्ट डेमो बना दिया
248 कैरेक्टर का एक रेगुलर एक्सप्रेशन (regex) बिना पैच वाले सेल्फ-मैनेज्ड GitLab सर्वरों पर कमांड चला सकता है। Rapid7 ने GitLab के 12 अक्टूबर के पैच के एक दिन बाद यह एक्सप्लॉयट दोहराया और उसी दिन अपने पेइंग कस्टमर्स तक डिटेक्शन पहुंचा दिया — 2 अक्टूबर को लॉन्च की गई अपनी इंटेलिजेंस यूनिट का यह पहला सार्वजनिक रन लगता है।
Vincent Jiang · 4 min read
सुरक्षा-पहरे को चकमा देता regex
GitLab−5.70% — GitLab, down 5.70 percent today ने 12 अक्टूबर को CVE-2026-97229 के लिए आउट-ऑफ-बैंड पैच जारी किया — यानी अपने सामान्य महीनेवार शेड्यूल से बाहर आई एक सुरक्षा रिलीज़। यह इंटीजर ओवरफ़्लो की खामी है, जिसे कंपनी ने CVSS सेवेरिटी स्केल पर 10.0 यानी अधिकतम अंक दिए हैं 12। खामी CI/CD कॉन्फ़िगरेशन — वे पाइपलाइन जिनसे सॉफ्टवेयर बनता और डिप्लॉय होता है — में लिखे जाने वाले रेगुलर एक्सप्रेशन के कंपाइलर में बैठी है और सेल्फ-मैनेज्ड कम्युनिटी व एंटरप्राइज़ एडिशन दोनों को लगती है। उस दिन ठीक की गई कुल 24 खामियों में यह भी एक थी। इसकी जानकारी joaxcar नाम से काम करने वाले एक रिसर्चर की HackerOne बग-बाउंटी रिपोर्ट के ज़रिए GitLab तक पहुंची थी 23।
एक दिन बाद Rapid7−3.59% — Rapid7, down 3.59 percent today ने बताया कि उसने पूरी एक्सप्लॉयट चेन आधिकारिक, बिना पैच वाली 19.4.1 कम्युनिटी एडिशन इमेज पर दोहरा ली — एड्रेस-स्पेस रैंडमाइज़ेशन चालू रखते हुए। वही इनपुट पैच हो चुके 19.4.2 पर नाकाम रहा 1। अंदर घुसने का रास्ता दो चरणों का है: .gitlab-ci.yml पाइपलाइन फ़ाइल में रखा गया एक खास तरह का रेगुलर एक्सप्रेशन GitLab की वैलिडेशन पास कर लेता है। फिर वह UTF-8 कैरेक्टर वाले रिपॉज़िटरी पाथ पर दोबारा कंपाइल होता है, और वहीं Ruby के Onigmo इंजन में होने वाला इंटीजर ओवरफ़्लो हमलावर के हाथों प्रोसेस का कंट्रोल आ जाता है।
पैच से काम करने वाले एक्सप्लॉयट तक सिर्फ 24 घंटे
इसके बाद ऑपरेटिंग सिस्टम की कमांड्स git यूज़र के तौर पर चलती हैं — GitLab एप्लिकेशन जिस सर्विस अकाउंट के नीचे चलती है, वह यही है 1। एक सार्वजनिक प्रूफ़ ऑफ़ कॉन्सेप्ट 248 कैरेक्टर को 2GB से ज़्यादा इंजन कोड में बदलकर system() तक पहुंच जाता है 4। GitLab के मुताबिक यह बग पूरी तरह अनऑथेंटिकेटेड है। हालांकि Rapid7 के प्रयोग में पहले वह कॉन्फ़िगरेशन फ़ाइल वहां पहुंचाने का कोई रास्ता चाहिए था — यह शर्त वहां गायब हो जाती है जहां कोई इंस्टेंस सबको रजिस्टर करने और पब्लिक प्रोजेक्ट खोलने की इजाज़त देता है 1।
सेल्फ-मैनेज्ड सर्वरों पर जमा है सोर्स कोड और क्लाउड क्रेडेंशियल
इन सर्वरों के पीछे जो बैठा है, वही यहां 10.0 की खामी पर हमलावरों को तेज़ी से खींच लाता है: किसी संगठन का सोर्स कोड, उसकी बिल्ड पाइपलाइन और वे क्रेडेंशियल जिनसे ये पाइपलाइन क्लाउड अकाउंट तक पहुंचती हैं — iCounter के ग्लोबल रिसर्च कोऑर्डिनेटर रोमन वाई. सानिकोव (Roman Y. Sannikov) के शब्दों में 5। GitLab की ग्राहक कंपनियों में Fortune 100 की आधी से ज़्यादा शामिल हैं 3।
दो महीनों में GitLab की यह दूसरी 10.0 दर्जे की खामी है। सितंबर की पाथ-ट्रैवर्सल खामी CVE-2026-85706 GitLab के पैच जारी करने के एक दिन बाद ही अमेरिकी साइबरसिक्योरिटी एजेंसी CISA के एक्सप्लॉयटेड वल्नरेबिलिटीज़ कैटलॉग में जा चुकी थी और watchTowr के रिसर्चर्स पहले से ही प्रोब दर्ज कर रहे थे 36। सानिकोव ने कहा, "टीमों को यह मानकर चलना चाहिए कि डिस्क्लोज़र और एक्सप्लॉयटेशन के बीच का फासला हफ्तों का नहीं, दिनों का होता है" 5। 13 अक्टूबर तक नई खामी के एक्सप्लॉयट की पुष्टि नहीं हुई थी 1।
उसी दिन की डिटेक्शन बनी नई यूनिट की पहली प्रोडक्ट रन
असली बिज़नेस कहानी टाइमिंग में है। Rapid7 इंटेलिजेंस — खामियों की रिसर्च सीधे पेड प्रोडक्ट्स तक पहुंचाने के लिए 2 अक्टूबर को लॉन्च हुई यूनिट — ने इस खामी का ऑथेंटिकेटेड डिटेक्शन चेक 13 अक्टूबर की उसी कंटेंट रिलीज़ में अपने Exposure Command, Vulnerability Management और Nexpose प्रोडक्ट्स तक पहुंचा दिया 17। पेइंग कस्टमर्स के लिए यही लॉन्च पिच वर्किंग कोड की शक्ल में सामने आई है: खामी सार्वजनिक होने के एक दिन के भीतर रिसर्च से प्रोडक्ट तक पहुंच गई।
नैस्डैक पर लिस्टेड पैरेंट कंपनी के लिए यह डेमो ज़रूरी भी है। जून तिमाही में रेवेन्यू साल-दर-साल 1.5 फीसदी गिरा — यह लगातार दूसरी गिरावट है — और जेपीमॉर्गन ने सितंबर में स्टॉक को अंडरवेट करते हुए 12 डॉलर का टारगेट रखा 89। तीसरी तिमाही के नतीजे 4 नवंबर को आएंगे 8।
Rapid7 की ग्रोथ 13 फीसदी से फिसलकर लगातार दो तिमाहियों से गिर रही है
Data
| रेवेन्यू ग्रोथ, साल-दर-साल | |
|---|---|
| Q3 '23 | 13.1% |
| Q4 '23 | 11.3% |
| Q1 '24 | 12% |
| Q2 '24 | 9.2% |
| Q3 '24 | 8% |
| Q4 '24 | 5.4% |
| Q1 '25 | 2.5% |
| Q2 '25 | 3% |
| Q3 '25 | 1.5% |
| Q4 '25 | 0.5% |
| Q1 '26 | -0.3% |
| Q2 '26 | -1.5% |
GitLab 21 फीसदी बढ़ रहा, Rapid7 सिकुड़ रहा
GitLab (NASDAQ: GTLB) एक तरफ बढ़ रहा है, दूसरी तरफ जोखिम में भी खड़ा है। जुलाई में खत्म हुई तिमाही में रेवेन्यू 21.3 फीसदी बढ़कर 286.3 मिलियन डॉलर पहुंचा, जबकि नेट घाटा 36.8 मिलियन डॉलर रहा 10। GitLab.com पहले ही पैच हो चुका है और Dedicated — एक ग्राहक के लिए अलग से होस्ट की जाने वाली उसकी सर्विस — पर बैठे ग्राहकों को कुछ करने की ज़रूरत नहीं। इसलिए सीधा नुकसान ग्राहकों के सर्वर पर पड़ेगा, कंपनी के हिसाब-किताब पर नहीं 1।
चार्ट की गई बारहों तिमाहियों में GitLab का रेवेन्यू 20 फीसदी से ज़्यादा बढ़ा
Data
| रेवेन्यू, $ मिलियन | |
|---|---|
| Q3 '23 | $149.67M |
| Q4 '23 | $163.78M |
| Q1 '24 | $169.19M |
| Q2 '24 | $182.58M |
| Q3 '24 | $196.05M |
| Q4 '24 | $211.43M |
| Q1 '25 | $214.51M |
| Q2 '25 | $235.96M |
| Q3 '25 | $244.35M |
| Q4 '25 | $260.4M |
| Q1 '26 | $264.16M |
| Q2 '26 | $286.25M |
तुरंत अपग्रेड करें, फिर नज़र इन दो तारीखों पर
पैच के टारगेट साफ हैं: 19.2.8, 19.3.5 और 19.4.2 — और इन्हें अगले मंथली साइकल की बजाय अभी इंस्टॉल कर लेना है 1। जहां अपग्रेड में देरी पड़नी हो, वहां GitLab की सलाह है कि पब्लिक प्रोजेक्ट्स पर अनाम एक्सेस (anonymous access) सीमित कर दें और जिन यूज़र्स पर भरोसा न हो उन्हें प्रोजेक्ट बनाने से रोक दें 1। जो इंस्टेंस डिस्क्लोज़र की अवधि भर अनपैच्ड पड़ा रहा, वहां सानिकोव की सलाह है कि CI/CD के सीक्रेट्स और टोकन रोटेट कर दें और डिस्क्लोज़र के बाद से रनर और पाइपलाइन की एक्टिविटी जांच लें 5।
मामला किस तरफ जाएगा, यह दो निशान बताएंगे। पहला यह कि CVE-2026-97229 अपनी सितंबर वाली सगी खामी की तरह CISA के कैटलॉग तक पहुंच जाता है या नहीं 36। दूसरा 4 नवंबर, जब Rapid7 तीसरी तिमाही के नतीजे देगा और बताना होगा कि इंटेलिजेंस यूनिट पेड प्रोडक्ट्स अपनाने वाले ग्राहकों में नज़र आने लगी है या नहीं 8। तब तक जोखिम उसी के पास टिका है जो कोई भूला-बिसरा सेल्फ-मैनेज्ड इंस्टेंस चलाए बैठा है।
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
