Microsoft ຕຳໜິຕິຕຽນ ຫຼັງຈາກຕົວແບບການຂຸດຄົ້ນ Microsoft Exchange ຖືກໂຍກຍ້າຍອອກຈາກ GitHub

Microsoft ໄດ້ເອົາລະຫັດ GitHub ອອກຈາກ GitHub ດ້ວຍການຂຸດຄົ້ນແບບຕົ້ນແບບທີ່ສະແດງໃຫ້ເຫັນເຖິງຫຼັກການຂອງການດໍາເນີນງານຂອງຈຸດອ່ອນທີ່ສໍາຄັນໃນ Microsoft Exchange. ການກະທໍານີ້ເຮັດໃຫ້ເກີດຄວາມໂກດແຄ້ນໃນບັນດານັກຄົ້ນຄວ້າດ້ານຄວາມປອດໄພຈໍານວນຫຼາຍ, ຍ້ອນວ່າຕົ້ນແບບຂອງການຂູດຮີດໄດ້ຖືກຈັດພີມມາຫຼັງຈາກການປ່ອຍ patch, ເຊິ່ງເປັນການປະຕິບັດທົ່ວໄປ.

ກົດລະບຽບ GitHub ປະກອບມີຂໍ້ຫ້າມການຈັດວາງລະຫັດທີ່ເປັນອັນຕະລາຍຫຼືການຂູດຮີດ (i.e., ການໂຈມຕີລະບົບຜູ້ໃຊ້) ຢູ່ໃນບ່ອນເກັບມ້ຽນ, ເຊັ່ນດຽວກັນກັບການໃຊ້ GitHub ເປັນແພລະຕະຟອມສໍາລັບການຂູດຮີດແລະລະຫັດທີ່ເປັນອັນຕະລາຍໃນລະຫວ່າງການໂຈມຕີ. ແຕ່ກົດລະບຽບນີ້ບໍ່ໄດ້ຖືກນໍາໃຊ້ໃນເມື່ອກ່ອນກັບ prototypes ລະຫັດໂຮດຂອງນັກຄົ້ນຄວ້າທີ່ຈັດພີມມາເພື່ອວິເຄາະວິທີການໂຈມຕີຫຼັງຈາກຜູ້ຂາຍອອກ patch.

ເນື່ອງຈາກລະຫັດດັ່ງກ່າວມັກຈະບໍ່ຖືກໂຍກຍ້າຍ, ການກະທໍາຂອງ GitHub ໄດ້ຖືກຮັບຮູ້ວ່າ Microsoft ໃຊ້ຊັບພະຍາກອນບໍລິຫານເພື່ອສະກັດຂໍ້ມູນກ່ຽວກັບຄວາມອ່ອນແອໃນຜະລິດຕະພັນຂອງມັນ. ນັກວິຈານໄດ້ກ່າວຫາ Microsoft ວ່າມີມາດຕະຖານສອງເທົ່າແລະ censoring ເນື້ອຫາທີ່ມີຄວາມສົນໃຈສູງຕໍ່ຊຸມຊົນການຄົ້ນຄວ້າຄວາມປອດໄພພຽງແຕ່ຍ້ອນວ່າເນື້ອຫາເປັນອັນຕະລາຍຕໍ່ຜົນປະໂຫຍດຂອງ Microsoft. ອີງຕາມສະມາຊິກຂອງທີມງານ Google Project Zero, ການປະຕິບັດການເຜີຍແຜ່ prototypes ການຂູດຮີດແມ່ນມີຄວາມຍຸດຕິທໍາແລະຜົນປະໂຫຍດຫຼາຍກວ່າຄວາມສ່ຽງ, ເພາະວ່າບໍ່ມີວິທີທີ່ຈະແບ່ງປັນຜົນການຄົ້ນຄວ້າກັບຜູ້ຊ່ຽວຊານອື່ນໆໂດຍບໍ່ມີຂໍ້ມູນນີ້ຕົກຢູ່ໃນມືຂອງຜູ້ໂຈມຕີ.

ນັກຄົ້ນຄວ້າຈາກ Kryptos Logic ໄດ້ພະຍາຍາມຄັດຄ້ານ, ໂດຍຊີ້ໃຫ້ເຫັນວ່າໃນສະຖານະການທີ່ຍັງມີຫຼາຍກວ່າ 50 ພັນອັນທີ່ບໍ່ໄດ້ຮັບການອັບເດດຢູ່ໃນເຄືອຂ່າຍ ເຄື່ອງແມ່ຂ່າຍ ການເຜີຍແຜ່ຕົ້ນແບບຊ່ອງໂຫວ່ທີ່ກຽມພ້ອມສຳລັບການໂຈມຕີຂອງ Microsoft Exchange ເບິ່ງຄືວ່າເປັນທີ່ໜ້າສົງໄສ. ອັນຕະລາຍທີ່ການປ່ອຍຊ່ອງໂຫວ່ໃນຕອນຕົ້ນອາດຈະເຮັດໃຫ້ເກີດມີຫຼາຍກວ່າຜົນປະໂຫຍດຕໍ່ນັກຄົ້ນຄວ້າຄວາມປອດໄພ, ຍ້ອນວ່າຊ່ອງໂຫວ່ດັ່ງກ່າວເຮັດໃຫ້ເຊີບເວີຈຳນວນຫຼວງຫຼາຍທີ່ຍັງບໍ່ທັນໄດ້ຮັບການອັບເດດ.

ຜູ້ຕາງຫນ້າ GitHub ໄດ້ໃຫ້ຄໍາເຫັນກ່ຽວກັບການໂຍກຍ້າຍວ່າເປັນການລະເມີດນະໂຍບາຍການນໍາໃຊ້ທີ່ຍອມຮັບຂອງການບໍລິການແລະກ່າວວ່າພວກເຂົາເຂົ້າໃຈເຖິງຄວາມສໍາຄັນຂອງການເຜີຍແຜ່ prototypes ການຂູດຮີດສໍາລັບຈຸດປະສົງການຄົ້ນຄວ້າແລະການສຶກສາ, ແຕ່ຍັງຮັບຮູ້ເຖິງອັນຕະລາຍຂອງຄວາມເສຍຫາຍທີ່ພວກເຂົາສາມາດເຮັດໃຫ້ເກີດຢູ່ໃນມືຂອງຜູ້ໂຈມຕີ. ດັ່ງນັ້ນ, GitHub ກໍາລັງພະຍາຍາມຊອກຫາຄວາມສົມດູນທີ່ດີທີ່ສຸດລະຫວ່າງຜົນປະໂຫຍດຂອງຊຸມຊົນການຄົ້ນຄວ້າຄວາມປອດໄພແລະການປົກປ້ອງຜູ້ຖືກເຄາະຮ້າຍທີ່ເປັນໄປໄດ້. ໃນກໍລະນີທີ່ຢູ່ພາຍໃຕ້ການພິຈາລະນາ, ການພິມເຜີຍແຜ່ການຂູດຮີດທີ່ເຫມາະສົມກັບການປະຕິບັດການໂຈມຕີ, ຍ້ອນວ່າມີລະບົບຈໍານວນຫລາຍທີ່ຍັງບໍ່ທັນໄດ້ຮັບການປັບປຸງ, ຖືວ່າລະເມີດກົດລະບຽບ GitHub.

ມັນເປັນທີ່ສັງເກດວ່າການໂຈມຕີໄດ້ເລີ່ມຕົ້ນໃນເດືອນມັງກອນ, ດົນນານກ່ອນທີ່ຈະອອກການແກ້ໄຂແລະການເປີດເຜີຍຂໍ້ມູນກ່ຽວກັບການປະກົດຕົວຂອງຊ່ອງໂຫວ່ (0-day). ກ່ອນທີ່ຕົ້ນແບບການຂຸດຄົ້ນໄດ້ຖືກເຜີຍແຜ່, ປະມານ 100 ພັນເຊີບເວີໄດ້ຖືກໂຈມຕີແລ້ວ, ເຊິ່ງມີການຕິດຕັ້ງ backdoor ສໍາລັບການຄວບຄຸມໄລຍະໄກ.

ການໂຈມຕີແບບຕົ້ນແບບທີ່ຖືກລຶບອອກຈາກ GitHub ສະແດງໃຫ້ເຫັນຊ່ອງໂຫວ່ CVE-2021-26855 (ProxyLogon), ເຊິ່ງອະນຸຍາດໃຫ້ມີການສະກັດຂໍ້ມູນຜູ້ໃຊ້ໂດຍບໍ່ຕ້ອງມີການພິສູດຢືນຢັນຕົວຕົນ. ເມື່ອລວມກັບ CVE-2021-27065, ຊ່ອງໂຫວ່ດັ່ງກ່າວຍັງອະນຸຍາດໃຫ້ມີການປະຕິບັດລະຫັດໄດ້ອີກດ້ວຍ. ເຄື່ອງແມ່ຂ່າຍ ກັບສິດທິຜູ້ບໍລິຫານ.

ບໍ່ແມ່ນການຂູດຮີດທັງຫມົດໄດ້ຖືກໂຍກຍ້າຍອອກ; ຕົວຢ່າງ, ສະບັບທີ່ງ່າຍດາຍຂອງການຂູດຮີດອື່ນທີ່ພັດທະນາໂດຍທີມງານ GreyOrder ຍັງຄົງຢູ່ໃນ GitHub. ບັນທຶກການຂູດຮີດກ່າວວ່າການຂຸດຄົ້ນ GreyOrder ຕົ້ນສະບັບໄດ້ຖືກໂຍກຍ້າຍອອກຫຼັງຈາກຫນ້າທີ່ເພີ່ມເຕີມໄດ້ຖືກເພີ່ມໃສ່ລະຫັດເພື່ອ enumerate ຜູ້ໃຊ້ໃນເຄື່ອງແມ່ຂ່າຍເມລ, ເຊິ່ງສາມາດຖືກນໍາໃຊ້ເພື່ອປະຕິບັດການໂຈມຕີມະຫາຊົນໃນບໍລິສັດທີ່ໃຊ້ Microsoft Exchange.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru