GitHub वरून Microsoft Exchange exploit प्रोटोटाइप काढून टाकल्यानंतर मायक्रोसॉफ्टने टीका केली

Microsoft ने GitHub वरून प्रोटोटाइप एक्स्प्लोइटसह कोड (कॉपी) काढून टाकला आहे जो Microsoft Exchange मधील गंभीर भेद्यतेच्या ऑपरेशनचे सिद्धांत दर्शवितो. या कृतीमुळे अनेक सुरक्षा संशोधकांमध्ये संताप निर्माण झाला, कारण शोषणाचा नमुना पॅच रिलीझ झाल्यानंतर प्रकाशित करण्यात आला होता, जो सामान्य आहे.

GitHub नियमांमध्ये सक्रिय दुर्भावनायुक्त कोड किंवा शोषण (म्हणजे, वापरकर्त्यांच्या सिस्टमवर हल्ला करणाऱ्या) रिपॉझिटरीजमध्ये प्लेसमेंट प्रतिबंधित करणारा एक कलम आहे, तसेच हल्ल्यांदरम्यान शोषण आणि दुर्भावनापूर्ण कोड वितरीत करण्यासाठी प्लॅटफॉर्म म्हणून GitHub चा वापर करणे. परंतु विक्रेत्याने पॅच रिलीझ केल्यानंतर हल्ला पद्धतींचे विश्लेषण करण्यासाठी प्रकाशित केलेल्या संशोधक-होस्ट केलेल्या कोड प्रोटोटाइपवर हा नियम यापूर्वी लागू केला गेला नाही.

असा कोड सहसा काढला जात नसल्यामुळे, GitHub च्या कृती मायक्रोसॉफ्टने त्याच्या उत्पादनातील भेद्यतेबद्दल माहिती अवरोधित करण्यासाठी प्रशासकीय संसाधने वापरत असल्याचे समजले. समीक्षकांनी मायक्रोसॉफ्टवर दुहेरी मानकांचा आरोप केला आहे आणि सुरक्षा संशोधन समुदायासाठी उच्च हिताची सामग्री सेन्सॉर केली आहे कारण सामग्री मायक्रोसॉफ्टच्या हितसंबंधांना हानी पोहोचवते. Google Project Zero टीमच्या सदस्याच्या मते, एक्स्प्लोइट प्रोटोटाइप प्रकाशित करण्याची प्रथा न्याय्य आहे आणि हा फायदा जोखमीपेक्षा जास्त आहे, कारण ही माहिती हल्लेखोरांच्या हाती पडल्याशिवाय संशोधन परिणाम इतर तज्ञांसह सामायिक करण्याचा कोणताही मार्ग नाही.

क्रिप्टोस लॉजिकच्या एका संशोधकाने आक्षेप घेण्याचा प्रयत्न केला, असे सूचित केले की नेटवर्कवर अद्याप 50 हजारांहून अधिक अद्ययावत मायक्रोसॉफ्ट एक्सचेंज सर्व्हर आहेत अशा परिस्थितीत, हल्ल्यांसाठी तयार शोषण प्रोटोटाइपचे प्रकाशन संशयास्पद दिसते. शोषणांच्या लवकर प्रकाशनामुळे सुरक्षा संशोधकांच्या फायद्यांपेक्षा जास्त नुकसान होऊ शकते, कारण अशा शोषणांमुळे मोठ्या संख्येने सर्व्हर उघड होतात जे अद्याप अद्यतनित केले गेले नाहीत.

GitHub प्रतिनिधींनी काढून टाकण्यावर सेवेच्या स्वीकार्य वापर धोरणांचे उल्लंघन म्हणून टिप्पणी केली आणि सांगितले की त्यांना संशोधन आणि शैक्षणिक हेतूंसाठी शोषण प्रोटोटाइप प्रकाशित करण्याचे महत्त्व समजते, परंतु ते हल्लेखोरांच्या हातून होणारे नुकसान होण्याचा धोका देखील ओळखतात. म्हणून, GitHub सुरक्षा संशोधन समुदायाचे हित आणि संभाव्य बळींचे संरक्षण यांच्यातील इष्टतम संतुलन शोधण्याचा प्रयत्न करीत आहे. या प्रकरणात, हल्ले करण्यासाठी योग्य शोषणाचे प्रकाशन, अद्याप अद्ययावत न केलेल्या मोठ्या संख्येने सिस्टीम असल्यास, GitHub नियमांचे उल्लंघन मानले जाते.

हे लक्षात घेण्याजोगे आहे की हल्ले जानेवारीमध्ये सुरू झाले होते, असुरक्षा (0-दिवस) च्या उपस्थितीबद्दल माहितीचे निराकरण आणि प्रकटीकरण जाहीर होण्याच्या खूप आधी. शोषण प्रोटोटाइप प्रकाशित होण्यापूर्वी, सुमारे 100 हजार सर्व्हरवर आधीच हल्ला झाला होता, ज्यावर रिमोट कंट्रोलसाठी मागील दरवाजा स्थापित केला गेला होता.

रिमोट गिटहब एक्स्प्लॉयट प्रोटोटाइपने CVE-2021-26855 (प्रॉक्सीलॉगॉन) भेद्यता दर्शविली, ज्यामुळे अनियंत्रित वापरकर्त्याचा डेटा प्रमाणीकरणाशिवाय काढला जाऊ शकतो. CVE-2021-27065 सह एकत्रित केल्यावर, भेद्यतेने प्रशासक अधिकारांसह सर्व्हरवर कोड अंमलात आणण्याची परवानगी दिली.

सर्व शोषण काढून टाकले गेले नाहीत; उदाहरणार्थ, GreyOrder टीमने विकसित केलेल्या दुसर्‍या शोषणाची एक सरलीकृत आवृत्ती अजूनही GitHub वर आहे. मेल सर्व्हरवरील वापरकर्त्यांची गणना करण्यासाठी कोडमध्ये अतिरिक्त कार्यक्षमता जोडल्यानंतर मूळ ग्रेऑर्डर शोषण काढून टाकण्यात आले होते, ज्याचा उपयोग मायक्रोसॉफ्ट एक्सचेंज वापरणाऱ्या कंपन्यांवर मोठ्या प्रमाणात हल्ले करण्यासाठी केला जाऊ शकतो असे एक्सप्लॉइट नोटमध्ये म्हटले आहे.

स्त्रोत: opennet.ru