ګرانو لوستونکو، زه غواړم لومړی دا په ګوته کړم چې د جرمني د یو اوسیدونکي په توګه، زه په عمده توګه د هغه هیواد وضعیت بیانوم. شاید ستاسو په هیواد کې وضعیت په بشپړ ډول توپیر ولري.
د دسمبر په ۱۷، ۲۰۱۹، د سیټریکس اپلیکیشن ډیلیوري کنټرولر (نیټ سکیلر ADC) او سیټریکس ګیټ وے محصول لاینونو کې د یوې جدي زیان مننې په اړه معلومات، چې عموما د نیټ سکیلر ګیټ وے په نوم پیژندل کیږي، د سیټریکس پوهې مرکز پاڼې کې خپاره شول. وروسته د SD-WAN محصول لاین کې هم یو زیان منونکی وموندل شو. دې زیان منونکي د محصول ټولې نسخې اغیزمنې کړې، له 10.5 څخه تر اوسني 13.0 پورې، او یو غیر مجاز بریدګر ته یې اجازه ورکړه چې په سیسټم کې ناوړه کوډ اجرا کړي، په مؤثره توګه NetScaler په داخلي شبکه کې د نورو بریدونو لپاره په پلیټ فارم بدل کړ.
د زیان مننې په اړه د معلوماتو خپرولو سره سم، سیټریکس د کمولو سپارښتنې (ورک اراونډ) خپرې کړې. د زیان مننې لپاره د بشپړ پیچ ژمنه یوازې د جنوري 2020 تر پایه شوې وه.
د دې زیان مننې (CVE-2019-19781 شمیره) اهمیت دا و . په وینا د دا زیان منونکی حالت په ټوله نړۍ کې له ۸۰،۰۰۰ څخه ډیر شرکتونه اغیزمنوي.
د خبر په وړاندې احتمالي غبرګون
د یو مسؤل کس په توګه، ما فرض کړه چې ټول هغه معلوماتي ټکنالوژۍ مسلکي کسان چې په زیربنا کې یې د NetScaler محصولات درلودل لاندې کارونه یې وکړل:
- په سمدستي توګه د خطر کمولو ټولې سپارښتنې پلي کړې چې په CTX267679 ماده کې مشخص شوي دي.
- موږ د فایر وال ترتیبات بیا چیک کړل ترڅو د نیټ سکیلر څخه داخلي شبکې ته ترافیک ته اجازه ورکړو.
- موږ سپارښتنه کړې چې د معلوماتي ټکنالوژۍ امنیتي مدیران د نیټ سکیلر ته د لاسرسي لپاره "غیر معمولي" هڅو ته پام وکړي او که اړتیا وي نو دوی بند کړي. د یادونې په توګه، نیټ سکیلر معمولا په DMZ کې موقعیت لري.
- موږ په لنډمهاله توګه د شبکې څخه د NetScaler د جلا کولو په اړه فکر کاوه تر هغه چې موږ د ستونزې په اړه نور تفصيلي معلومات ترلاسه نه کړو. دا به د کرسمس څخه مخکې رخصتیو، رخصتیو او نورو وختونو کې لږ ګډوډونکی وي. سربیره پردې، ډیری شرکتونه د VPN له لارې د لاسرسي بدیل اختیار لري.
بیا څه وشول؟
له بده مرغه، لکه څنګه چې څرګنده شوه، پورته ګامونه، کوم چې معیاري چلند دی، د ډیری لخوا له پامه غورځول شوي.
د سیټریکس زیربنا لپاره مسؤل ډیری متخصصینو د جنوري په ۱۳، ۲۰۲۰ کې د زیان مننې په اړه زده کړه وکړه. دوی هغه وخت وموندل کله چې د هغو سیسټمونو یوه لویه برخه چې دوی یې مسؤلیت درلود له خطر سره مخ شوه. د وضعیت بې معنی والی دې مرحلې ته ورسید چې د دې لپاره اړین کارونې په اسانۍ سره کیدی شي .
د ځینو دلیلونو لپاره، ما داسې انګیرله چې د معلوماتي ټکنالوژۍ متخصصین د هغو سیسټمونو پلورونکو څخه خبر پاڼې لولي چې دوی ته سپارل شوي، د ټویټر کارولو څرنګوالی پوهیږي، د دوی په ساحه کې د مخکښو متخصصینو ګډون کوي، او مکلف دي چې د اوسنیو پیښو څخه خبر پاتې شي.
په حقیقت کې، د دریو اونیو څخه زیات وخت لپاره، د سیټریکس ډیری پیرودونکو د تولید کونکي سپارښتنې په بشپړه توګه له پامه غورځولې. د سیټریکس پیرودونکو کې په آلمان کې تقریبا ټول لوی او منځني شرکتونه، او همدارنګه نږدې ټول دولتي ادارې شاملې دي. زیان مننې په عمده توګه دولتي ادارې اغیزمنې کړې.
خو یو څه شته چې وشي
هغه کسان چې سیسټمونه یې زیانمن شوي دي بشپړ بیا نصبولو ته اړتیا لري، په شمول د TSL سندونو بدلول. شاید هغه سیټریکس پیرودونکي چې تمه یې درلوده چې پلورونکي به د جدي زیان مننې په نښه کولو لپاره ډیر فعال اقدام وکړي، په جدي توګه به بدیلونه په پام کې ونیسي. دا باید ومنل شي چې د سیټریکس ځواب هڅونکی نه دی.
د ځوابونو په پرتله ډیرې پوښتنې شتون لري
پوښتنه راپورته کیږي: د سیټریکس ډیری شریکان، پلاټینم او سرو زرو، څه کول؟ ولې اړین معلومات یوازې د 2020 په دریمه اونۍ کې د سیټریکس ځینې شریکانو پاڼو کې څرګند شول؟ په څرګنده توګه، حتی لوړ معاش لرونکي بهرني مشاورین هم دا خطرناک حالت له لاسه ورکړ. هیڅ جرم نه دی شوی، مګر د ملګري دنده په اصل کې د ستونزو د رامینځته کیدو مخه نیول دي، نه د حل کولو لپاره د مرستې وړاندیز کول یا پلورل.
په حقیقت کې، دې وضعیت د معلوماتي ټکنالوژۍ د امنیت ریښتینی حالت څرګند کړی دی. د سیټریکس شریک شرکتونو کې د معلوماتي ټکنالوژۍ څانګې او مشاورین دواړه باید یو حقیقت درک کړي: که چیرې زیان منونکی وي، نو باید حل شي. او یو مهم زیان منونکی باید سمدلاسه حل شي!
سرچینه: www.habr.com
