માઈક્રોસોફ્ટ એક્સ્પ્લોઈટ પ્રોટોટાઈપને ગિટહબમાંથી દૂર કર્યા પછી માઈક્રોસોફ્ટ ટીકા કરે છે

માઇક્રોસોફ્ટે માઇક્રોસોફ્ટ એક્સચેન્જમાં નિર્ણાયક નબળાઈના સંચાલનના સિદ્ધાંતને દર્શાવતા પ્રોટોટાઇપ એક્સપ્લોઇટ સાથે કોડ (કોપી)ને GitHubમાંથી દૂર કર્યો છે. આ ક્રિયાને કારણે ઘણા સુરક્ષા સંશોધકોમાં આક્રોશ ફેલાયો હતો, કારણ કે શોષણનો પ્રોટોટાઇપ પેચના પ્રકાશન પછી પ્રકાશિત કરવામાં આવ્યો હતો, જે સામાન્ય પ્રથા છે.

GitHub નિયમોમાં ભંડારોમાં સક્રિય દૂષિત કોડ અથવા શોષણ (એટલે ​​​​કે, વપરાશકર્તા સિસ્ટમ પર હુમલો કરનારા) ના પ્લેસમેન્ટ પર પ્રતિબંધ મૂકતી કલમ છે, તેમજ હુમલા દરમિયાન શોષણ અને દૂષિત કોડ પહોંચાડવા માટેના પ્લેટફોર્મ તરીકે GitHub નો ઉપયોગ. પરંતુ આ નિયમ અગાઉ વિક્રેતાએ પેચ રિલીઝ કર્યા પછી હુમલાની પદ્ધતિઓનું વિશ્લેષણ કરવા માટે પ્રકાશિત સંશોધક-હોસ્ટેડ કોડ પ્રોટોટાઇપ પર લાગુ કરવામાં આવ્યો નથી.

આવો કોડ સામાન્ય રીતે દૂર કરવામાં આવતો ન હોવાથી, GitHub ની ક્રિયાઓ Microsoft તેના ઉત્પાદનમાં નબળાઈ વિશેની માહિતીને અવરોધિત કરવા વહીવટી સંસાધનોનો ઉપયોગ કરતી હોવાનું માનવામાં આવતું હતું. ટીકાકારોએ માઇક્રોસોફ્ટ પર બેવડા ધોરણો અને સુરક્ષા સંશોધન સમુદાય માટે ઉચ્ચ રુચિ ધરાવતી સામગ્રીને સેન્સર કરવાનો આરોપ મૂક્યો છે કારણ કે સામગ્રી માઇક્રોસોફ્ટના હિતોને નુકસાન પહોંચાડે છે. ગૂગલ પ્રોજેક્ટ ઝીરો ટીમના સભ્યના જણાવ્યા અનુસાર, એક્સપ્લોઈટ પ્રોટોટાઈપ પ્રકાશિત કરવાની પ્રથા વાજબી છે અને તેનો ફાયદો જોખમ કરતાં વધારે છે, કારણ કે આ માહિતી હુમલાખોરોના હાથમાં આવ્યા વિના અન્ય નિષ્ણાતો સાથે સંશોધન પરિણામો શેર કરવાનો કોઈ રસ્તો નથી.

ક્રિપ્ટોસ લોજિકના એક સંશોધકે વાંધો ઉઠાવવાનો પ્રયાસ કર્યો, નિર્દેશ કર્યો કે નેટવર્ક પર હજી પણ 50 હજારથી વધુ અનઅપડેટેડ માઈક્રોસોફ્ટ એક્સચેન્જ સર્વર્સ છે તેવી સ્થિતિમાં, હુમલા માટે તૈયાર એક્સપ્લોઈટ પ્રોટોટાઈપનું પ્રકાશન શંકાસ્પદ લાગે છે. શોષણનું વહેલું પ્રકાશન જે નુકસાનનું કારણ બની શકે છે તે સુરક્ષા સંશોધકો માટેના ફાયદા કરતાં વધી જાય છે, કારણ કે આવા શોષણોથી મોટી સંખ્યામાં સર્વર્સનો પર્દાફાશ થાય છે જે હજુ સુધી અપડેટ થયા નથી.

GitHub પ્રતિનિધિઓએ સેવાની સ્વીકાર્ય ઉપયોગ નીતિઓના ઉલ્લંઘન તરીકે દૂર કરવા પર ટિપ્પણી કરી અને જણાવ્યું કે તેઓ સંશોધન અને શૈક્ષણિક હેતુઓ માટે શોષણ પ્રોટોટાઇપ પ્રકાશિત કરવાનું મહત્વ સમજે છે, પરંતુ તેઓ હુમલાખોરોના હાથમાં થઈ શકે તેવા નુકસાનના જોખમને પણ ઓળખે છે. તેથી, GitHub સુરક્ષા સંશોધન સમુદાયના હિતો અને સંભવિત પીડિતોના રક્ષણ વચ્ચે શ્રેષ્ઠ સંતુલન શોધવાનો પ્રયાસ કરી રહ્યું છે. આ કિસ્સામાં, હુમલાઓ કરવા માટે યોગ્ય શોષણનું પ્રકાશન, જો ત્યાં મોટી સંખ્યામાં સિસ્ટમ્સ છે જે હજી સુધી અપડેટ કરવામાં આવી નથી, તે GitHub નિયમોનું ઉલ્લંઘન માનવામાં આવે છે.

નોંધનીય છે કે નબળાઈની હાજરી (0-દિવસ) વિશેની માહિતીના ફિક્સ અને જાહેરાતના ઘણા સમય પહેલા, જાન્યુઆરીમાં હુમલા શરૂ થયા હતા. શોષણ પ્રોટોટાઇપ પ્રકાશિત થાય તે પહેલાં, લગભગ 100 હજાર સર્વર્સ પર હુમલો કરવામાં આવ્યો હતો, જેના પર રીમોટ કંટ્રોલ માટે બેકડોર ઇન્સ્ટોલ કરવામાં આવ્યું હતું.

દૂરસ્થ GitHub શોષણ પ્રોટોટાઇપે CVE-2021-26855 (પ્રોક્સીલોગન) નબળાઈ દર્શાવી છે, જે એક મનસ્વી વપરાશકર્તાના ડેટાને પ્રમાણીકરણ વિના બહાર કાઢવાની મંજૂરી આપે છે. જ્યારે CVE-2021-27065 સાથે જોડવામાં આવે છે, ત્યારે નબળાઈએ એડમિનિસ્ટ્રેટર અધિકારો સાથે સર્વર પર કોડને એક્ઝિક્યુટ કરવાની પણ મંજૂરી આપી હતી.

બધા શોષણ દૂર કરવામાં આવ્યા નથી; ઉદાહરણ તરીકે, ગ્રેઓર્ડર ટીમ દ્વારા વિકસિત અન્ય શોષણનું સરળ સંસ્કરણ હજી પણ ગિટહબ પર રહે છે. શોષણ નોંધ જણાવે છે કે મેઇલ સર્વર પર વપરાશકર્તાઓની ગણતરી કરવા માટે કોડમાં વધારાની કાર્યક્ષમતા ઉમેરવામાં આવ્યા પછી મૂળ ગ્રેઓર્ડર શોષણ દૂર કરવામાં આવ્યું હતું, જેનો ઉપયોગ માઇક્રોસોફ્ટ એક્સચેન્જનો ઉપયોગ કરતી કંપનીઓ પર સામૂહિક હુમલાઓ કરવા માટે થઈ શકે છે.

સોર્સ: opennet.ru