67% ਜਨਤਕ ਅਪਾਚੇ ਸੁਪਰਸੈੱਟ ਸਰਵਰ ਸੈੱਟਅੱਪ ਉਦਾਹਰਨ ਤੋਂ ਐਕਸੈਸ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ

Horizon3 ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਅਪਾਚੇ ਸੁਪਰਸੈੱਟ ਡੇਟਾ ਵਿਸ਼ਲੇਸ਼ਣ ਅਤੇ ਵਿਜ਼ੂਅਲਾਈਜ਼ੇਸ਼ਨ ਪਲੇਟਫਾਰਮ ਦੀਆਂ ਜ਼ਿਆਦਾਤਰ ਸਥਾਪਨਾਵਾਂ ਵਿੱਚ ਸੁਰੱਖਿਆ ਮੁੱਦਿਆਂ ਨੂੰ ਦੇਖਿਆ ਹੈ। ਅਧਿਐਨ ਕੀਤੇ ਗਏ 2124 ਅਪਾਚੇ ਸੁਪਰਸੈੱਟ ਪਬਲਿਕ ਸਰਵਰਾਂ ਵਿੱਚੋਂ 3176 'ਤੇ, ਨਮੂਨਾ ਕੌਂਫਿਗਰੇਸ਼ਨ ਫਾਈਲ ਵਿੱਚ ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ ਨਿਰਦਿਸ਼ਟ ਆਮ ਐਨਕ੍ਰਿਪਸ਼ਨ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ ਸੀ। ਇਹ ਕੁੰਜੀ ਫਲਾਸਕ ਪਾਈਥਨ ਲਾਇਬ੍ਰੇਰੀ ਵਿੱਚ ਸੈਸ਼ਨ ਕੂਕੀਜ਼ ਬਣਾਉਣ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ, ਜੋ ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਜਾਅਲੀ ਸੈਸ਼ਨ ਪੈਰਾਮੀਟਰ ਬਣਾਉਣ, ਅਪਾਚੇ ਸੁਪਰਸੈੱਟ ਵੈੱਬ ਇੰਟਰਫੇਸ ਨਾਲ ਜੁੜਨ ਅਤੇ ਬਾਊਂਡ ਡੇਟਾਬੇਸ ਤੋਂ ਡਾਟਾ ਲੋਡ ਕਰਨ, ਜਾਂ ਅਪਾਚੇ ਸੁਪਰਸੈੱਟ ਅਧਿਕਾਰਾਂ ਨਾਲ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਦੀ ਕੁੰਜੀ ਜਾਣਦੀ ਹੈ। .

ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ, ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਸ਼ੁਰੂਆਤੀ ਤੌਰ 'ਤੇ 2021 ਵਿੱਚ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਸਮੱਸਿਆ ਦੀ ਰਿਪੋਰਟ ਕੀਤੀ, ਜਿਸ ਤੋਂ ਬਾਅਦ, ਜਨਵਰੀ 1.4.1 ਵਿੱਚ ਬਣੇ ਅਪਾਚੇ ਸੁਪਰਸੈੱਟ 2022 ਦੀ ਰਿਲੀਜ਼ ਵਿੱਚ, SECRET_KEY ਪੈਰਾਮੀਟਰ ਦੇ ਮੁੱਲ ਨੂੰ "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET" ਸਟ੍ਰਿੰਗ ਨਾਲ ਬਦਲ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਇੱਕ ਜਾਂਚ ਸੀ। ਕੋਡ ਵਿੱਚ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ, ਜੇਕਰ ਇਹ ਲੌਗ ਲਈ ਇੱਕ ਚੇਤਾਵਨੀ ਨੂੰ ਆਉਟਪੁੱਟ ਕਰਦਾ ਹੈ।

ਇਸ ਸਾਲ ਦੇ ਫਰਵਰੀ ਵਿੱਚ, ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਕਮਜ਼ੋਰ ਪ੍ਰਣਾਲੀਆਂ ਨੂੰ ਮੁੜ ਸਕੈਨ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਅਤੇ ਪਾਇਆ ਕਿ ਕੁਝ ਲੋਕ ਚੇਤਾਵਨੀ ਵੱਲ ਧਿਆਨ ਦਿੰਦੇ ਹਨ ਅਤੇ 67% ਅਪਾਚੇ ਸੁਪਰਸੈੱਟ ਸਰਵਰ ਅਜੇ ਵੀ ਸੰਰਚਨਾ ਉਦਾਹਰਨਾਂ, ਤੈਨਾਤੀ ਟੈਂਪਲੇਟਾਂ ਜਾਂ ਦਸਤਾਵੇਜ਼ਾਂ ਤੋਂ ਕੁੰਜੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਜਾਰੀ ਰੱਖਦੇ ਹਨ। ਉਸੇ ਸਮੇਂ, ਕੁਝ ਵੱਡੀਆਂ ਕੰਪਨੀਆਂ, ਯੂਨੀਵਰਸਿਟੀਆਂ ਅਤੇ ਸਰਕਾਰੀ ਏਜੰਸੀਆਂ ਡਿਫਾਲਟ ਕੁੰਜੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਸੰਸਥਾਵਾਂ ਵਿੱਚੋਂ ਸਨ।

ਨਮੂਨਾ ਸੰਰਚਨਾ ਵਿੱਚ ਇੱਕ ਕਾਰਜਸ਼ੀਲ ਕੁੰਜੀ ਨੂੰ ਨਿਰਧਾਰਿਤ ਕਰਨਾ ਹੁਣ ਇੱਕ ਕਮਜ਼ੋਰੀ (CVE-2023-27524) ਦੇ ਰੂਪ ਵਿੱਚ ਸਮਝਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ ਇੱਕ ਗਲਤੀ ਦੇ ਆਉਟਪੁੱਟ ਦੁਆਰਾ ਅਪਾਚੇ ਸੁਪਰਸੈੱਟ 2.1 ਦੇ ਰੀਲੀਜ਼ ਵਿੱਚ ਫਿਕਸ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ ਨਿਰਧਾਰਤ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਪਲੇਟਫਾਰਮ ਦੇ ਲਾਂਚ ਨੂੰ ਰੋਕਦਾ ਹੈ। ਉਦਾਹਰਨ ਵਿੱਚ (ਸਿਰਫ਼ ਮੌਜੂਦਾ ਸੰਸਕਰਣ ਦੀ ਸੰਰਚਨਾ ਉਦਾਹਰਨ ਵਿੱਚ ਦਿੱਤੀ ਕੁੰਜੀ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਿਆ ਗਿਆ ਹੈ, ਪੁਰਾਣੀ ਕਿਸਮ ਦੀਆਂ ਕੁੰਜੀਆਂ ਅਤੇ ਟੈਂਪਲੇਟਾਂ ਅਤੇ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀਆਂ ਕੁੰਜੀਆਂ ਨੂੰ ਬਲੌਕ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ)। ਨੈੱਟਵਰਕ ਉੱਤੇ ਕਮਜ਼ੋਰੀ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਸਕ੍ਰਿਪਟ ਦਾ ਪ੍ਰਸਤਾਵ ਕੀਤਾ ਗਿਆ ਹੈ।

ਸਰੋਤ: opennet.ru