67% പൊതു അപ്പാച്ചെ സൂപ്പർസെറ്റ് സെർവറുകൾ കോൺഫിഗറേഷൻ ഉദാഹരണത്തിൽ നിന്നുള്ള ആക്സസ് കീ ഉപയോഗിക്കുന്നു

Horizon3 ലെ ഗവേഷകർ അപ്പാച്ചെ സൂപ്പർസെറ്റ് ഡാറ്റാ വിശകലനത്തിന്റെയും വിഷ്വലൈസേഷൻ പ്ലാറ്റ്‌ഫോമിന്റെയും മിക്ക ഇൻസ്റ്റാളേഷനുകളിലും സുരക്ഷാ പ്രശ്‌നങ്ങൾ ശ്രദ്ധിച്ചു. പഠിച്ച 2124 അപ്പാച്ചെ സൂപ്പർസെറ്റ് പബ്ലിക് സെർവറുകളിൽ 3176-ലും സാമ്പിൾ കോൺഫിഗറേഷൻ ഫയലിൽ സ്ഥിരസ്ഥിതിയായി വ്യക്തമാക്കിയിട്ടുള്ള ജനറിക് എൻക്രിപ്ഷൻ കീയുടെ ഉപയോഗം കണ്ടെത്തി. സെഷൻ കുക്കികൾ സൃഷ്‌ടിക്കാൻ ഈ കീ Flask Python ലൈബ്രറിയിൽ ഉപയോഗിക്കുന്നു, ഇത് കീ അറിയാവുന്ന ഒരു ആക്രമണകാരിയെ സാങ്കൽപ്പിക സെഷൻ പാരാമീറ്ററുകൾ സൃഷ്ടിക്കുന്നതിനും അപ്പാച്ചെ സൂപ്പർസെറ്റ് വെബ് ഇന്റർഫേസിലേക്ക് കണക്റ്റുചെയ്യുന്നതിനും ബൗണ്ട് ഡാറ്റാബേസുകളിൽ നിന്ന് ഡാറ്റ ലോഡ് ചെയ്യുന്നതിനും അല്ലെങ്കിൽ അപ്പാച്ചെ സൂപ്പർസെറ്റ് അവകാശങ്ങൾ ഉപയോഗിച്ച് കോഡ് എക്‌സിക്യൂഷൻ സംഘടിപ്പിക്കുന്നതിനും അനുവദിക്കുന്നു. .

രസകരമെന്നു പറയട്ടെ, ഗവേഷകർ 2021-ൽ പ്രശ്‌നത്തെക്കുറിച്ച് ആദ്യം ഡവലപ്പർമാരെ അറിയിച്ചു, അതിനുശേഷം, 1.4.1 ജനുവരിയിൽ രൂപീകരിച്ച അപ്പാച്ചെ സൂപ്പർസെറ്റ് 2022-ന്റെ റിലീസിൽ, SECRET_KEY പാരാമീറ്ററിന്റെ മൂല്യം "CHANGE_ME_TO_A_COMPLEX_RANDOM_ ചെക്ക്" ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിച്ചു. ലോഗിന് ഒരു മുന്നറിയിപ്പ് നൽകുന്ന മൂല്യമാണെങ്കിൽ, കോഡിലേക്ക് ചേർത്തു.

ഈ വർഷം ഫെബ്രുവരിയിൽ, ഗവേഷകർ അപകടസാധ്യതയുള്ള സിസ്റ്റങ്ങൾ പുനഃസ്ഥാപിക്കാൻ തീരുമാനിച്ചു, കുറച്ച് ആളുകൾ മുന്നറിയിപ്പ് ശ്രദ്ധിക്കുകയും 67% അപ്പാച്ചെ സൂപ്പർസെറ്റ് സെർവറുകൾ ഇപ്പോഴും കോൺഫിഗറേഷൻ ഉദാഹരണങ്ങൾ, വിന്യാസ ടെംപ്ലേറ്റുകൾ അല്ലെങ്കിൽ ഡോക്യുമെന്റേഷൻ എന്നിവയിൽ നിന്നുള്ള കീകൾ ഉപയോഗിക്കുന്നത് തുടരുകയും ചെയ്യുന്നു. അതേസമയം, ഡിഫോൾട്ട് കീകൾ ഉപയോഗിക്കുന്ന സ്ഥാപനങ്ങളിൽ ചില വലിയ കമ്പനികളും സർവകലാശാലകളും സർക്കാർ ഏജൻസികളും ഉൾപ്പെടുന്നു.

സാമ്പിൾ കോൺഫിഗറേഷനിൽ ഒരു വർക്കിംഗ് കീ വ്യക്തമാക്കുന്നത് ഇപ്പോൾ ഒരു അപകടസാധ്യതയായി (CVE-2023-27524) കണക്കാക്കപ്പെടുന്നു, ഇത് അപ്പാച്ചെ സൂപ്പർസെറ്റ് 2.1-ന്റെ റിലീസിൽ സ്ഥിരീകരിക്കപ്പെട്ട ഒരു പിശകിന്റെ ഔട്ട്പുട്ടിലൂടെ പ്ലാറ്റ്‌ഫോമിന്റെ സമാരംഭത്തെ തടയുന്നു. ഉദാഹരണത്തിൽ (നിലവിലെ പതിപ്പിന്റെ കോൺഫിഗറേഷൻ ഉദാഹരണത്തിൽ വ്യക്തമാക്കിയ കീ മാത്രം കണക്കിലെടുക്കുന്നു, പഴയ തരം കീകളും ടെംപ്ലേറ്റുകളിൽ നിന്നും ഡോക്യുമെന്റേഷനിൽ നിന്നുമുള്ള കീകളും തടഞ്ഞിട്ടില്ല). നെറ്റ്‌വർക്കിൽ ഒരു അപകടസാധ്യത പരിശോധിക്കാൻ ഒരു പ്രത്യേക സ്‌ക്രിപ്റ്റ് നിർദ്ദേശിച്ചിട്ടുണ്ട്.

അവലംബം: opennet.ru