മൈക്രോസോഫ്റ്റ് എക്സ്ചേഞ്ച് എക്സ്പ്ലോയിറ്റ് പ്രോട്ടോടൈപ്പ് GitHub-ൽ നിന്ന് നീക്കം ചെയ്തതിന് ശേഷം മൈക്രോസോഫ്റ്റ് വിമർശിക്കുന്നു

മൈക്രോസോഫ്റ്റ് എക്‌സ്‌ചേഞ്ചിലെ ഒരു നിർണ്ണായക അപകടത്തിന്റെ പ്രവർത്തന തത്വം പ്രകടമാക്കുന്ന ഒരു പ്രോട്ടോടൈപ്പ് ചൂഷണത്തോടുകൂടിയ കോഡ് (പകർപ്പ്) GitHub-ൽ നിന്ന് Microsoft നീക്കം ചെയ്‌തു. ഈ നടപടി പല സുരക്ഷാ ഗവേഷകരിലും രോഷത്തിന് കാരണമായി, കാരണം ചൂഷണത്തിന്റെ പ്രോട്ടോടൈപ്പ് പാച്ച് പുറത്തിറങ്ങിയതിന് ശേഷം പ്രസിദ്ധീകരിച്ചു, ഇത് സാധാരണ രീതിയാണ്.

റിപ്പോസിറ്ററികളിൽ സജീവ ക്ഷുദ്ര കോഡ് അല്ലെങ്കിൽ ചൂഷണങ്ങൾ (അതായത്, ഉപയോക്തൃ സിസ്റ്റങ്ങളെ ആക്രമിക്കുന്നവ) സ്ഥാപിക്കുന്നത് നിരോധിക്കുന്ന ഒരു ക്ലോസ് GitHub നിയമങ്ങളിൽ അടങ്ങിയിരിക്കുന്നു, അതുപോലെ തന്നെ ആക്രമണ സമയത്ത് ചൂഷണങ്ങളും ക്ഷുദ്ര കോഡുകളും വിതരണം ചെയ്യുന്നതിനുള്ള ഒരു പ്ലാറ്റ്ഫോമായി GitHub ഉപയോഗിക്കുന്നത്. എന്നാൽ ഒരു വെണ്ടർ ഒരു പാച്ച് പുറത്തിറക്കിയതിന് ശേഷം ആക്രമണ രീതികൾ വിശകലനം ചെയ്യാൻ പ്രസിദ്ധീകരിച്ച ഗവേഷകർ-ഹോസ്റ്റ് ചെയ്ത കോഡ് പ്രോട്ടോടൈപ്പുകളിൽ ഈ നിയമം മുമ്പ് പ്രയോഗിച്ചിട്ടില്ല.

അത്തരം കോഡ് സാധാരണയായി നീക്കം ചെയ്യപ്പെടാത്തതിനാൽ, GitHub-ന്റെ പ്രവർത്തനങ്ങൾ മൈക്രോസോഫ്റ്റ് അതിന്റെ ഉൽപ്പന്നത്തിലെ അപകടസാധ്യതയെക്കുറിച്ചുള്ള വിവരങ്ങൾ തടയുന്നതിന് അഡ്മിനിസ്ട്രേറ്റീവ് ഉറവിടങ്ങൾ ഉപയോഗിക്കുന്നതായി മനസ്സിലാക്കി. മൈക്രോസോഫ്റ്റ് ഇരട്ടത്താപ്പാണെന്നും സുരക്ഷാ ഗവേഷണ സമൂഹത്തിന് ഉയർന്ന താൽപ്പര്യമുള്ള ഉള്ളടക്കം സെൻസർ ചെയ്യുന്നതായും വിമർശകർ ആരോപിച്ചു, കാരണം ഉള്ളടക്കം മൈക്രോസോഫ്റ്റിന്റെ താൽപ്പര്യങ്ങൾക്ക് ഹാനികരമാണ്. ഗൂഗിൾ പ്രോജക്റ്റ് സീറോ ടീമിലെ ഒരു അംഗം പറയുന്നതനുസരിച്ച്, ചൂഷണം ചെയ്യുന്ന പ്രോട്ടോടൈപ്പുകൾ പ്രസിദ്ധീകരിക്കുന്ന രീതി ന്യായീകരിക്കപ്പെടുന്നു, കൂടാതെ പ്രയോജനം അപകടസാധ്യതയേക്കാൾ കൂടുതലാണ്, കാരണം ഈ വിവരങ്ങൾ ആക്രമണകാരികളുടെ കൈകളിൽ വീഴാതെ മറ്റ് സ്പെഷ്യലിസ്റ്റുകളുമായി ഗവേഷണ ഫലങ്ങൾ പങ്കിടാൻ ഒരു മാർഗവുമില്ല.

ക്രിപ്‌റ്റോസ് ലോജിക്കിലെ ഒരു ഗവേഷകൻ എതിർക്കാൻ ശ്രമിച്ചു, നെറ്റ്‌വർക്കിൽ അപ്‌ഡേറ്റ് ചെയ്യാത്ത 50 ആയിരത്തിലധികം മൈക്രോസോഫ്റ്റ് എക്‌സ്‌ചേഞ്ച് സെർവറുകൾ ഇപ്പോഴും ഉള്ള സാഹചര്യത്തിൽ, ആക്രമണത്തിന് തയ്യാറായ പ്രോട്ടോടൈപ്പുകളുടെ പ്രസിദ്ധീകരണം സംശയാസ്പദമാണെന്ന് ചൂണ്ടിക്കാട്ടി. ചൂഷണങ്ങൾ നേരത്തെ പ്രസിദ്ധീകരിക്കുന്നത് സുരക്ഷാ ഗവേഷകർക്കുള്ള നേട്ടത്തേക്കാൾ കൂടുതലാണ്, കാരണം അത്തരം ചൂഷണങ്ങൾ ഇതുവരെ അപ്‌ഡേറ്റ് ചെയ്യാത്ത ധാരാളം സെർവറുകളെ തുറന്നുകാട്ടുന്നു.

സേവനത്തിന്റെ സ്വീകാര്യമായ ഉപയോഗ നയങ്ങളുടെ ലംഘനമാണെന്ന് GitHub പ്രതിനിധികൾ അഭിപ്രായപ്പെടുകയും ഗവേഷണ-വിദ്യാഭ്യാസ ആവശ്യങ്ങൾക്കായി ചൂഷണ പ്രോട്ടോടൈപ്പുകൾ പ്രസിദ്ധീകരിക്കുന്നതിന്റെ പ്രാധാന്യം അവർ മനസ്സിലാക്കുകയും ആക്രമണകാരികളുടെ കൈകളിൽ അവ ഉണ്ടാക്കുന്ന നാശത്തിന്റെ അപകടത്തെ തിരിച്ചറിയുകയും ചെയ്യുന്നുവെന്നും പ്രസ്താവിച്ചു. അതിനാൽ, സുരക്ഷാ ഗവേഷണ കമ്മ്യൂണിറ്റിയുടെ താൽപ്പര്യങ്ങളും ഇരകൾക്ക് സാധ്യതയുള്ളവരുടെ സംരക്ഷണവും തമ്മിലുള്ള ഒപ്റ്റിമൽ ബാലൻസ് കണ്ടെത്താൻ GitHub ശ്രമിക്കുന്നു. ഈ സാഹചര്യത്തിൽ, ഇതുവരെ അപ്‌ഡേറ്റ് ചെയ്യാത്ത ധാരാളം സിസ്റ്റങ്ങൾ ഉണ്ടെങ്കിൽ, ആക്രമണങ്ങൾ നടത്താൻ അനുയോജ്യമായ ഒരു ചൂഷണത്തിന്റെ പ്രസിദ്ധീകരണം GitHub നിയമങ്ങൾ ലംഘിക്കുന്നതായി കണക്കാക്കപ്പെടുന്നു.

അപകടസാധ്യത (0-ദിവസം) സംബന്ധിച്ച വിവരങ്ങൾ പരിഹരിക്കുന്നതിനും വെളിപ്പെടുത്തുന്നതിനും വളരെ മുമ്പുതന്നെ, ജനുവരിയിൽ ആക്രമണങ്ങൾ ആരംഭിച്ചത് ശ്രദ്ധേയമാണ്. എക്സ്പ്ലോയിറ്റ് പ്രോട്ടോടൈപ്പ് പ്രസിദ്ധീകരിക്കുന്നതിന് മുമ്പ്, ഏകദേശം 100 ആയിരം സെർവറുകൾ ഇതിനകം ആക്രമിക്കപ്പെട്ടിരുന്നു, അതിൽ റിമോട്ട് കൺട്രോളിനായി ഒരു പിൻവാതിൽ സ്ഥാപിച്ചിരുന്നു.

ഒരു വിദൂര GitHub എക്‌സ്‌പ്ലോയിറ്റ് പ്രോട്ടോടൈപ്പ് CVE-2021-26855 (ProxyLogon) അപകടസാധ്യത പ്രകടമാക്കി, ഇത് ഒരു ഏകപക്ഷീയമായ ഉപയോക്താവിന്റെ ഡാറ്റ പ്രാമാണീകരണമില്ലാതെ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്യാൻ അനുവദിക്കുന്നു. CVE-2021-27065 എന്നതുമായി സംയോജിപ്പിക്കുമ്പോൾ, അഡ്‌മിനിസ്‌ട്രേറ്റർ അവകാശങ്ങളുള്ള സെർവറിൽ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാനും ദുർബലത അനുവദിച്ചു.

എല്ലാ ചൂഷണങ്ങളും നീക്കം ചെയ്‌തിട്ടില്ല; ഉദാഹരണത്തിന്, GreyOrder ടീം വികസിപ്പിച്ചെടുത്ത മറ്റൊരു ചൂഷണത്തിന്റെ ലളിതമായ പതിപ്പ് ഇപ്പോഴും GitHub-ൽ അവശേഷിക്കുന്നു. മൈക്രോസോഫ്റ്റ് എക്‌സ്‌ചേഞ്ച് ഉപയോഗിക്കുന്ന കമ്പനികൾക്ക് മേൽ കൂട്ട ആക്രമണം നടത്താൻ ഉപയോഗിക്കാവുന്ന മെയിൽ സെർവറിലെ ഉപയോക്താക്കളെ കണക്കാക്കുന്നതിനായി കോഡിലേക്ക് അധിക പ്രവർത്തനം ചേർത്തതിന് ശേഷം യഥാർത്ഥ ഗ്രേഓർഡർ ചൂഷണം നീക്കം ചെയ്തതായി ചൂഷണ കുറിപ്പിൽ പറയുന്നു.

അവലംബം: opennet.ru