माइक्रोसफ्टले GitHub बाट माइक्रोसफ्ट एक्सचेन्ज शोषण प्रोटोटाइप हटाए पछि आलोचना गर्दछ

Microsoft ले GitHub बाट कोड (प्रतिलिपि) हटाएको छ प्रोटोटाइप शोषणको साथ Microsoft Exchange मा एक महत्वपूर्ण जोखिमको सञ्चालनको सिद्धान्त प्रदर्शन। यो कार्यले धेरै सुरक्षा अनुसन्धानकर्ताहरू बीच आक्रोश निम्त्यायो, किनकि शोषणको प्रोटोटाइप प्याचको रिलीज पछि प्रकाशित भएको थियो, जुन सामान्य अभ्यास हो।

GitHub नियमहरूले रिपोजिटरीहरूमा सक्रिय मालिसियस कोड वा शोषणहरू (जस्तै, प्रयोगकर्ता प्रणालीहरूमा आक्रमण गर्ने) को प्लेसमेन्ट निषेध गर्ने खण्ड समावेश गर्दछ, साथै आक्रमणको समयमा शोषण र मालिसियस कोड प्रदान गर्न प्लेटफर्मको रूपमा GitHub को प्रयोग। तर विक्रेताले प्याच जारी गरेपछि आक्रमण विधिहरूको विश्लेषण गर्न प्रकाशित अनुसन्धानकर्ता-होस्ट गरिएको कोड प्रोटोटाइपहरूमा यो नियम पहिले लागू गरिएको छैन।

यस्तो कोड सामान्यतया हटाइएको छैन, GitHub का कार्यहरूलाई Microsoft ले यसको उत्पादनमा जोखिमको बारेमा जानकारी ब्लक गर्न प्रशासनिक स्रोतहरू प्रयोग गरेको रूपमा बुझिएको थियो। आलोचकहरूले माइक्रोसफ्टलाई दोहोरो मापदण्ड र सुरक्षा अनुसन्धान समुदायलाई उच्च चासोको सामग्री सेन्सर गरेको आरोप लगाएका छन् किनभने सामग्रीले माइक्रोसफ्टको हितलाई हानि पुर्‍याउँछ। Google Project Zero टोलीका सदस्यका अनुसार, एक्स्प्लोइट प्रोटोटाइपहरू प्रकाशित गर्ने अभ्यास जायज छ र फाइदा जोखिमभन्दा बढी छ, किनभने यो जानकारी आक्रमणकारीहरूको हातमा नपरेपछि अनुसन्धान परिणामहरू अन्य विशेषज्ञहरूसँग साझा गर्ने कुनै तरिका छैन।

क्रिप्टोस लॉजिकका एक शोधकर्ताले आपत्ति गर्ने प्रयास गरे, यो कुरा औंल्याए कि नेटवर्कमा अझै पनि 50 हजार भन्दा बढी अपडेट नगरिएका माइक्रोसफ्ट एक्सचेन्ज सर्भरहरू छन्, आक्रमणको लागि तयार प्रोटोटाइपहरूको प्रकाशन संदिग्ध देखिन्छ। शोषणको प्रारम्भिक प्रकाशनले सुरक्षा अनुसन्धानकर्ताहरूको लागि लाभलाई बढावा दिन सक्छ, किनभने त्यस्ता शोषणहरूले अझै अद्यावधिक नगरिएका सर्भरहरूको ठूलो संख्यालाई उजागर गर्दछ।

GitHub प्रतिनिधिहरूले सेवाको स्वीकार्य उपयोग नीतिहरूको उल्लङ्घनको रूपमा हटाउने टिप्पणी गरे र भने कि उनीहरूले अनुसन्धान र शैक्षिक उद्देश्यका लागि शोषण प्रोटोटाइपहरू प्रकाशन गर्ने महत्त्व बुझ्छन्, तर उनीहरूले आक्रमणकारीहरूको हातमा हुन सक्ने क्षतिको खतरा पनि बुझ्छन्। त्यसकारण, GitHub ले सुरक्षा अनुसन्धान समुदायको हित र सम्भावित पीडितहरूको सुरक्षाको बीचमा इष्टतम सन्तुलन खोज्ने प्रयास गरिरहेको छ। विचाराधीन अवस्थामा, आक्रमणहरू गर्नका लागि उपयुक्त शोषणको प्रकाशन, त्यहाँ धेरै संख्यामा प्रणालीहरू छन् जुन अझै अद्यावधिक गरिएको छैन, GitHub नियमहरूको उल्लङ्घन मानिन्छ।

यो उल्लेखनीय छ कि आक्रमणहरू जनवरीमा सुरु भएको थियो, फिक्स र जोखिमको उपस्थिति (०-दिन) को बारेमा जानकारीको खुलासा हुनु अघि। शोषण प्रोटोटाइप प्रकाशित हुनु अघि, लगभग 0 हजार सर्भरहरू पहिले नै आक्रमण गरिएको थियो, जसमा रिमोट कन्ट्रोलको लागि पछाडिको ढोका स्थापना गरिएको थियो।

रिमोट GitHub एक्स्प्लोइट प्रोटोटाइपले CVE-2021-26855 (ProxyLogon) भेद्यता प्रदर्शन गर्‍यो, जसले स्वेच्छाचारी प्रयोगकर्ताको डेटा प्रमाणीकरण बिना निकाल्न अनुमति दिन्छ। CVE-2021-27065 सँग जोड्दा, भेद्यताले सर्भरमा प्रशासक अधिकारहरू सहितको कोड कार्यान्वयन गर्न अनुमति दियो।

सबै शोषण हटाइएको छैन; उदाहरण को लागी, GreyOrder टोली द्वारा विकसित अर्को शोषण को एक सरल संस्करण अझै GitHub मा रहन्छ। एक्स्प्लोइट नोटमा भनिएको छ कि मेल सर्भरमा प्रयोगकर्ताहरूको गणना गर्न कोडमा थप कार्यक्षमता थपिएपछि मूल ग्रेअर्डर शोषण हटाइयो, जुन माइक्रोसफ्ट एक्सचेन्ज प्रयोग गर्ने कम्पनीहरूमा सामूहिक आक्रमण गर्न प्रयोग गर्न सकिन्छ।

स्रोत: opennet.ru