গিটহাব থেকে মাইক্রোসফ্ট এক্সচেঞ্জের জন্য একটি প্রোটোটাইপ শোষণ অপসারণের পরে মাইক্রোসফ্টের সমালোচনা

মাইক্রোসফ্ট একটি প্রোটোটাইপ এক্সপ্লয়েট সহ GitHub থেকে কোডটি (অনুলিপি) সরিয়ে দিয়েছে যা Microsoft এক্সচেঞ্জে একটি জটিল দুর্বলতার পরিচালনার নীতি প্রদর্শন করে। এই ক্রিয়াটি অনেক নিরাপত্তা গবেষকদের মধ্যে ক্ষোভের সৃষ্টি করেছিল, কারণ শোষণের প্রোটোটাইপ প্যাচ প্রকাশের পরে প্রকাশিত হয়েছিল, যা সাধারণ অনুশীলন।

GitHub নিয়মগুলিতে সক্রিয় দূষিত কোড বা শোষণের (অর্থাৎ, যারা ব্যবহারকারী সিস্টেম আক্রমণ করে) সংগ্রহস্থলগুলিতে স্থাপন নিষিদ্ধ একটি ধারা রয়েছে, সেইসাথে আক্রমণের সময় শোষণ এবং দূষিত কোড সরবরাহ করার জন্য একটি প্ল্যাটফর্ম হিসাবে গিটহাবের ব্যবহার। কিন্তু এই নিয়মটি পূর্বে গবেষক-হোস্টেড কোড প্রোটোটাইপগুলিতে প্রয়োগ করা হয়নি যা একজন বিক্রেতা একটি প্যাচ প্রকাশ করার পরে আক্রমণের পদ্ধতিগুলি বিশ্লেষণ করতে প্রকাশিত।

যেহেতু এই ধরনের কোড সাধারণত সরানো হয় না, তাই গিটহাবের ক্রিয়াগুলি মাইক্রোসফ্টকে তার পণ্যের দুর্বলতা সম্পর্কে তথ্য ব্লক করার জন্য প্রশাসনিক সংস্থান ব্যবহার করে বলে মনে করা হয়েছিল। সমালোচকরা মাইক্রোসফ্টকে দ্বৈত মানের এবং সুরক্ষা গবেষণা সম্প্রদায়ের উচ্চ আগ্রহের বিষয়বস্তু সেন্সর করার অভিযোগ করেছেন কারণ সামগ্রীটি মাইক্রোসফ্টের স্বার্থের ক্ষতি করে। গুগল প্রজেক্ট জিরো দলের একজন সদস্যের মতে, এক্সপ্লয়েট প্রোটোটাইপ প্রকাশ করার অভ্যাসটি ন্যায়সঙ্গত এবং সুবিধাটি ঝুঁকির চেয়ে বেশি, কারণ এই তথ্য আক্রমণকারীদের হাতে না পড়ে অন্যান্য বিশেষজ্ঞদের সাথে গবেষণার ফলাফল ভাগ করার কোন উপায় নেই।

ক্রিপ্টোস লজিকের একজন গবেষক আপত্তি করার চেষ্টা করেছেন, নির্দেশ করে যে এমন পরিস্থিতিতে যেখানে নেটওয়ার্কে এখনও 50 হাজারেরও বেশি আপডেট না হওয়া মাইক্রোসফ্ট এক্সচেঞ্জ সার্ভার রয়েছে, আক্রমণের জন্য প্রস্তুত প্রোটোটাইপগুলি প্রকাশ করা সন্দেহজনক বলে মনে হচ্ছে। শোষণের প্রাথমিক প্রকাশনা যে ক্ষতির কারণ হতে পারে তা নিরাপত্তা গবেষকদের সুবিধার চেয়ে বেশি, কারণ এই ধরনের শোষণগুলি প্রচুর সংখ্যক সার্ভার প্রকাশ করে যা এখনও আপডেট করা হয়নি।

GitHub প্রতিনিধিরা পরিষেবার গ্রহণযোগ্য ব্যবহারের নীতিগুলির লঙ্ঘন হিসাবে অপসারণের বিষয়ে মন্তব্য করেছেন এবং বলেছেন যে তারা গবেষণা এবং শিক্ষামূলক উদ্দেশ্যে শোষণের প্রোটোটাইপ প্রকাশের গুরুত্ব বোঝেন, তবে আক্রমণকারীদের হাতে তারা যে ক্ষতির কারণ হতে পারে তাও স্বীকার করে। অতএব, গিটহাব নিরাপত্তা গবেষণা সম্প্রদায়ের স্বার্থ এবং সম্ভাব্য শিকারদের সুরক্ষার মধ্যে সর্বোত্তম ভারসাম্য খুঁজে বের করার চেষ্টা করছে। এই ক্ষেত্রে, আক্রমণ চালানোর জন্য উপযুক্ত একটি শোষণের প্রকাশনা, যদি এমন বিপুল সংখ্যক সিস্টেম রয়েছে যা এখনও আপডেট করা হয়নি, তা GitHub নিয়ম লঙ্ঘন বলে বিবেচিত হয়।

এটি লক্ষণীয় যে আক্রমণগুলি জানুয়ারিতে শুরু হয়েছিল, ফিক্স প্রকাশের অনেক আগে এবং দুর্বলতার উপস্থিতি (0-দিন) সম্পর্কে তথ্য প্রকাশের আগে। শোষণের প্রোটোটাইপ প্রকাশিত হওয়ার আগে, প্রায় 100 হাজার সার্ভার ইতিমধ্যেই আক্রমণ করা হয়েছিল, যার উপর রিমোট কন্ট্রোলের জন্য একটি ব্যাকডোর ইনস্টল করা হয়েছিল।

একটি দূরবর্তী গিটহাব শোষণের প্রোটোটাইপ CVE-2021-26855 (প্রক্সিলগন) দুর্বলতা প্রদর্শন করেছে, যা প্রমাণীকরণ ছাড়াই নির্বিচারে ব্যবহারকারীর ডেটা বের করার অনুমতি দেয়। CVE-2021-27065 এর সাথে মিলিত হলে, দুর্বলতা প্রশাসকের অধিকার সহ সার্ভারে কোড চালানোর অনুমতি দেয়।

সমস্ত শোষণ অপসারণ করা হয়নি; উদাহরণস্বরূপ, গ্রেঅর্ডার টিম দ্বারা বিকাশিত অন্য শোষণের একটি সরলীকৃত সংস্করণ এখনও গিটহাবে রয়ে গেছে। এক্সপ্লয়েট নোটে বলা হয়েছে যে মেল সার্ভারে ব্যবহারকারীদের গণনা করার জন্য কোডে অতিরিক্ত কার্যকারিতা যোগ করার পরে মূল গ্রেঅর্ডার শোষণটি সরানো হয়েছিল, যা মাইক্রোসফ্ট এক্সচেঞ্জ ব্যবহার করে কোম্পানিগুলিতে ব্যাপক আক্রমণ চালাতে ব্যবহার করা যেতে পারে।

উত্স: opennet.ru