የሞባይል መድረክ ገንቢዎች CyanogenMod ን የተካው ፣ የፕሮጀክቱን መሠረተ ልማት ለመጥለፍ ምልክቶችን ስለ መለየት. በግንቦት 6 ከቀኑ 3 ሰአት (ኤምኤስኬ) አጥቂው የተማከለውን የውቅር አስተዳደር ስርዓት ዋና አገልጋይ ማግኘት መቻሉን ተጠቅሷል። ያልተስተካከለ ተጋላጭነትን በመበዝበዝ። ክስተቱ በአሁኑ ጊዜ በመተንተን ላይ ነው እና ዝርዝሮች እስካሁን አልተገኙም.
ጥቃቱ የዲጂታል ፊርማዎችን ፣ የመሰብሰቢያ ስርዓቱን እና የመድረክን ምንጭ ኮድ ለመፍጠር ቁልፎች ላይ ተጽዕኖ አላሳደረም - ቁልፎቹ። በሶልትስታክ ከሚተዳደረው ዋና መሠረተ ልማት ሙሉ በሙሉ በተለየ አስተናጋጆች ላይ እና ግንባታዎች በቴክኒካዊ ምክንያቶች በኤፕሪል 30 ቆመዋል። በገጹ ላይ ባለው መረጃ በመመዘን ገንቢዎቹ አስቀድመው አገልጋዩን በጌሪት ኮድ ግምገማ ስርዓት፣ በድር ጣቢያው እና በዊኪው መልሰውታል። ጉባኤዎች ያሉት አገልጋይ (builds.lineageos.org)፣ ፋይሎችን የሚወርዱበት ፖርታል (download.lineageos.org)፣ የመልእክት አገልጋዮች እና ወደ መስተዋቶች ማስተላለፍን የማስተባበር ስርዓት እንደተሰናከለ ይቆያል።
ጥቃቱ ሊደረስ የቻለው የአውታረ መረብ ወደብ (4506) ለ SaltStack መዳረሻ በመኖሩ ነው። ለውጫዊ ጥያቄዎች በፋየርዎል ታግዷል - አጥቂው በሶልትስታክ ውስጥ ወሳኝ የሆነ ተጋላጭነት እስኪታይ መጠበቅ እና አስተዳዳሪዎች ከማስተካከያ ጋር ዝማኔ ከመጫናቸው በፊት መጠቀም ነበረበት። ሁሉም የ SaltStack ተጠቃሚዎች ስርዓታቸውን በአስቸኳይ እንዲያዘምኑ እና የጠለፋ ምልክቶችን እንዲፈትሹ ይመከራሉ።
በግልጽ ለማየት እንደሚቻለው በSaltStack በኩል የሚሰነዘሩ ጥቃቶች LineageOSን በመጥለፍ ብቻ የተገደቡ አልነበሩም እና ተስፋፍተዋል - በቀን ውስጥ ፣ SaltStackን ለማዘመን ጊዜ ያልነበራቸው የተለያዩ ተጠቃሚዎች የመሰረተ ልማቶቻቸውን ስምምነት በማዕድን ማውጫ ኮድ ወይም በአገልጋዮች ላይ በማስቀመጥ መለየት። ጨምሮ ስለ ተመሳሳይ የይዘት አስተዳደር ስርዓት መሠረተ ልማት መጥለፍ Ghost(Pro) ድረ-ገጾችን እና የሂሳብ አከፋፈልን የነካው (የክሬዲት ካርድ ቁጥሮች አልተነኩም ተብሏል ነገር ግን የGhost ተጠቃሚዎች የይለፍ ቃል hashes በአጥቂዎች እጅ ሊወድቅ ይችላል)።
ኤፕሪል 29 ነበሩ። የ SaltStack መድረክ ዝመናዎች и , የተወገዱበት (ስለ ተጋላጭነቶች መረጃ ኤፕሪል 30 ላይ ታትሟል) ፣ እነሱ ያለ ማረጋገጫ ስለሆኑ ከፍተኛው የአደጋ ደረጃ ተመድበዋል ። የርቀት ኮድ ማስፈጸሚያ በሁለቱም የመቆጣጠሪያ አስተናጋጅ (ጨው-ማስተር) እና በእሱ በሚተዳደሩ ሁሉም አገልጋዮች ላይ።
- የመጀመሪያ ተጋላጭነት () በጨው-ማስተር ሂደት ውስጥ የ ClearFuncs ክፍል ዘዴዎችን በሚጠሩበት ጊዜ ትክክለኛ ፍተሻዎች ባለመኖሩ ምክንያት ነው. ተጋላጭነቱ የርቀት ተጠቃሚ የተወሰኑ ዘዴዎችን ያለማረጋገጫ እንዲደርስ ያስችለዋል። ችግር ያለባቸውን ዘዴዎች ጨምሮ አጥቂው ከዋናው አገልጋዩ የስር መብቶች ጋር ለመዳረሻ ምልክት ማግኘት እና ዴሞን በሚሰራባቸው አስተናጋጆች ላይ ማንኛውንም ትዕዛዞችን ማሄድ ይችላል። . ይህንን ተጋላጭነት የሚያስወግደው መጣፊያው ነበር። ከ 20 ቀናት በፊት, ግን ከተጠቀሙበት በኋላ ብቅ አሉ , ወደ ውድቀቶች እና የፋይል ማመሳሰል መቋረጥን ያመጣል.
- ሁለተኛ ተጋላጭነት () ከ ClearFuncs ክፍል ጋር በማታለል በተወሰነ መንገድ የተቀረጹ መንገዶችን በማለፍ ዘዴዎችን ለማግኘት ያስችላል ፣ ይህም ከስር መብቶች ጋር በዋናው አገልጋይ FS ውስጥ የዘፈቀደ ማውጫዎችን ሙሉ በሙሉ ለመድረስ ሊያገለግል ይችላል ፣ ግን የተረጋገጠ መዳረሻ ይፈልጋል () እንዲህ ዓይነቱን ተደራሽነት የመጀመሪያውን ተጋላጭነት በመጠቀም ማግኘት ይቻላል እና ሁለተኛውን ተጋላጭነት በመጠቀም መላውን መሠረተ ልማት ሙሉ በሙሉ ለማበላሸት)።
ምንጭ: opennet.ru