अभी पैच करें: खतरनाक अपाचे स्ट्रट्स 2 बग के लिए एक्सप्लॉइट एक्टिविटी माउंट्स

अपाचे स्ट्रट्स 2 में एक महत्वपूर्ण, हाल ही में प्रकट रिमोट कोड निष्पादन (आरसीई) भेद्यता पर चिंताएं अधिक हैं, जिसका हमलावर पिछले कुछ दिनों से सक्रिय रूप से फायदा उठा रहे हैं।

अपाचे स्ट्रट्स जावा अनुप्रयोगों के निर्माण के लिए व्यापक रूप से उपयोग किया जाने वाला ओपन सोर्स फ्रेमवर्क है। डेवलपर्स इसका उपयोग मॉडल-व्यू-कंट्रोलर (एमवीसी) आर्किटेक्चर के आधार पर मॉड्यूलर वेब एप्लिकेशन बनाने के लिए कर सकते हैं। अपाचे सॉफ्टवेयर फाउंडेशन (ASF) बग का खुलासा किया 7 दिसंबर को और इसे सीवीएसएस पैमाने पर 9.8 में से 10 की अधिकतम गंभीरता रेटिंग दी गई। भेद्यता, के रूप में ट्रैक किया गया CVE-2023-50164 इसका संबंध इस बात से है कि स्ट्रट्स फ़ाइल अपलोड में मापदंडों को कैसे संभालता है और हमलावरों को प्रभावित सिस्टम पर पूर्ण नियंत्रण हासिल करने का एक तरीका देता है।

जावा ऐप्स को प्रभावित करने वाली एक व्यापक रूप से प्रचलित सुरक्षा समस्या

इस दोष ने इसकी व्यापकता, इस तथ्य के कारण काफी चिंता पैदा कर दी है कि यह दूरस्थ रूप से निष्पादन योग्य है, और क्योंकि प्रूफ-ऑफ-कॉन्सेप्ट शोषण कोड इसके लिए सार्वजनिक रूप से उपलब्ध है। पिछले सप्ताह दोष के खुलासे के बाद से, कई विक्रेता - और संस्थाएँ जैसे शैडोसर्वर - दोष को लक्षित करने वाली शोषण गतिविधि के संकेत देखने की सूचना दी है।

एएसएफ ने स्वयं अपाचे स्ट्रट्स को "विशाल उपयोगकर्ता आधार" के रूप में वर्णित किया है, इस तथ्य के कारण कि यह दो दशकों से अधिक समय से मौजूद है। सुरक्षा विशेषज्ञों का अनुमान है कि दुनिया भर में हजारों एप्लिकेशन हैं - जिनमें सरकारी और महत्वपूर्ण बुनियादी ढांचा क्षेत्रों में कई फॉर्च्यून 500 कंपनियों और संगठनों में उपयोग में आने वाले एप्लिकेशन भी शामिल हैं - जो अपाचे स्ट्रट्स पर आधारित हैं।  

कई विक्रेता प्रौद्योगिकियां अपाचे स्ट्रट्स 2 को भी शामिल करती हैं। उदाहरण के लिए, सिस्को है वर्तमान में जांच सभी उत्पाद जो संभवतः बग से प्रभावित हैं और आवश्यकता पड़ने पर अतिरिक्त जानकारी और अपडेट जारी करने की योजना बना रहे हैं। जो उत्पाद जांच के दायरे में हैं उनमें सिस्को का नेटवर्क प्रबंधन और प्रावधान प्रौद्योगिकियां, आवाज और एकीकृत संचार उत्पाद और इसके ग्राहक सहयोग मंच शामिल हैं।

भेद्यता स्ट्रट्स संस्करण 2.5.0 से 2.5.32 और स्ट्रट्स संस्करण 6.0.0 से 6.3.0 को प्रभावित करती है। बग स्ट्रट्स संस्करण 2.0.0 से स्ट्रट्स 2.3.37 तक में भी मौजूद है, जो अब समाप्त हो चुका है।

एएसएफ, सुरक्षा विक्रेता और संस्थाएं जैसे अमेरिकी साइबर सुरक्षा और सूचना सुरक्षा एजेंसी (सीआईएसए) ने सिफारिश की है कि सॉफ्टवेयर का उपयोग करने वाले संगठन तुरंत स्ट्रट्स संस्करण 2.5.33 या स्ट्रट्स 6.3.0.2 या उच्चतर पर अपडेट करें। एएसएफ के अनुसार, भेद्यता के लिए कोई शमन उपलब्ध नहीं है।

हाल के वर्षों में, शोधकर्ताओं ने स्ट्रट्स में कई खामियों का पता लगाया है। आसानी से उनमें से सबसे महत्वपूर्ण था CVE-2017-5638 2017 में, जिसने हजारों संगठनों को प्रभावित किया और इक्विफैक्स में उल्लंघन को सक्षम किया, जिसने 143 मिलियन अमेरिकी उपभोक्ताओं से संबंधित संवेदनशील डेटा को उजागर किया। वह बग वास्तव में अभी भी इधर-उधर घूम रहा है - अभी-अभी खोजे गए अभियान का उपयोग कर एनकेएब्यूज़ ब्लॉकचेन मैलवेयर, उदाहरण के लिए, प्रारंभिक पहुंच के लिए इसका उपयोग कर रहे हैं।

एक खतरनाक अपाचे स्ट्रट्स 2 बग, लेकिन इसका फायदा उठाना मुश्किल है

ट्रेंड माइक्रो के शोधकर्ताओं ने इस सप्ताह नई अपाचे स्ट्रट्स भेद्यता का विश्लेषण किया इसे खतरनाक लेकिन काफी कठिन बताया 2017 बग की तुलना में बड़े पैमाने पर शोषण करने के लिए, जो स्कैन और शोषण मुद्दे से थोड़ा अधिक था।  

ट्रेंड माइक्रो के शोधकर्ताओं ने कहा, "सीवीई-2023-50164 भेद्यता का बड़े पैमाने पर खतरे वाले अभिनेताओं द्वारा व्यापक रूप से शोषण किया जा रहा है, जो दुर्भावनापूर्ण गतिविधियों को करने के लिए इस भेद्यता का दुरुपयोग करते हैं, जिससे यह दुनिया भर के संगठनों के लिए एक महत्वपूर्ण सुरक्षा जोखिम बन जाता है।"

दोष मूल रूप से एक प्रतिद्वंद्वी को पथ ट्रैवर्सल को सक्षम करने के लिए फ़ाइल अपलोड मापदंडों में हेरफेर करने की अनुमति देता है: "इसके परिणामस्वरूप संभावित रूप से एक दुर्भावनापूर्ण फ़ाइल अपलोड हो सकती है, जिससे रिमोट कोड निष्पादन सक्षम हो सकता है," उन्होंने नोट किया।

दोष का फायदा उठाने के लिए, एक हमलावर को सबसे पहले कमजोर अपाचे स्ट्रट्स संस्करण का उपयोग करके वेबसाइटों या वेब अनुप्रयोगों को स्कैन करने और पहचानने की आवश्यकता होगी, अकामाई ने एक में कहा रिपोर्ट में खतरे के विश्लेषण का सारांश दिया गया है इस सप्ताह। फिर उन्हें असुरक्षित साइट या वेब ऐप पर फ़ाइल अपलोड करने के लिए एक विशेष रूप से तैयार किया गया अनुरोध भेजने की आवश्यकता होगी। अनुरोध में छिपे हुए आदेश शामिल होंगे जो कमजोर सिस्टम को फ़ाइल को किसी स्थान या निर्देशिका में रखने का कारण बनेंगे जहां से हमला उस तक पहुंच सकता है और प्रभावित सिस्टम पर दुर्भावनापूर्ण कोड के निष्पादन को ट्रिगर कर सकता है।

"दुर्भावनापूर्ण मल्टीपार्ट फ़ाइल अपलोड को सक्षम करने के लिए वेब एप्लिकेशन में कुछ क्रियाएं लागू होनी चाहिए, ”अकामाई के वरिष्ठ सुरक्षा शोधकर्ता सैम टिंकलेनबर्ग कहते हैं। "यह डिफ़ॉल्ट रूप से सक्षम है या नहीं यह स्ट्रट्स 2 के कार्यान्वयन पर निर्भर करता है। हमने जो देखा है उसके आधार पर, यह अधिक संभावना है कि यह डिफ़ॉल्ट रूप से सक्षम कुछ नहीं है।"

सीवीई-2023-50164 के लिए दो पीओसी एक्सप्लॉइट वेरिएंट

अकामाई ने कहा कि उसने अब तक सार्वजनिक रूप से जारी PoC का उपयोग करके CVE-2023-50164 को लक्षित करने वाले हमलों को देखा है, और मूल PoC के एक प्रकार का उपयोग करके हमले की गतिविधि का एक और सेट देखा है।

टिंकलेनबर्ग का कहना है, "दोनों के बीच शोषण तंत्र समान है" हमलों का सेट। "हालांकि, जो आइटम भिन्न हैं वे शोषण के प्रयास में उपयोग किए जाने वाले समापन बिंदु और पैरामीटर हैं।"

टिंकलेनबर्ग कहते हैं, किसी हमलावर के लिए भेद्यता का सफलतापूर्वक फायदा उठाने की आवश्यकताएं कार्यान्वयन के अनुसार काफी भिन्न हो सकती हैं। इनमें फ़ाइल अपलोड फ़ंक्शन को सक्षम करने के लिए एक असुरक्षित ऐप की आवश्यकता और इसके लिए एक अप्रमाणित उपयोगकर्ता को फ़ाइलें अपलोड करने की अनुमति देना शामिल है। यदि कोई असुरक्षित ऐप अनधिकृत उपयोगकर्ता अपलोड की अनुमति नहीं देता है, तो हमलावर को अन्य माध्यमों से प्रमाणीकरण और प्राधिकरण प्राप्त करने की आवश्यकता होगी। उनका कहना है कि हमलावर को कमजोर फ़ाइल अपलोड फ़ंक्शन का उपयोग करके समापन बिंदु की पहचान करने की भी आवश्यकता होगी।

हालांकि अपाचे स्ट्रट्स में यह भेद्यता पिछले दोषों की तुलना में बड़े पैमाने पर आसानी से शोषण योग्य नहीं हो सकती है, लेकिन इतने व्यापक रूप से अपनाए गए ढांचे में इसकी उपस्थिति निश्चित रूप से महत्वपूर्ण सुरक्षा चिंताओं को जन्म देती है, क्वालिस में भेद्यता और खतरे के अनुसंधान के प्रबंधक सईद अब्बासी कहते हैं।

उन्होंने कहा, "यह विशेष भेद्यता इसकी जटिलता और शोषण के लिए आवश्यक विशिष्ट परिस्थितियों के कारण सामने आती है, जिससे व्यापक हमले मुश्किल लेकिन संभव हो जाते हैं।" "विभिन्न महत्वपूर्ण प्रणालियों में अपाचे स्ट्रट्स के व्यापक एकीकरण को देखते हुए, लक्षित हमलों की संभावना को कम करके नहीं आंका जा सकता है।"

• एसईओ संचालित सामग्री और पीआर वितरण। आज ही प्रवर्धित हो जाओ।
• प्लेटोडेटा.नेटवर्क वर्टिकल जेनरेटिव एआई। स्वयं को शक्तिवान बनाएं। यहां पहुंचें।
• प्लेटोआईस्ट्रीम। Web3 इंटेलिजेंस। ज्ञान प्रवर्धित। यहां पहुंचें।
• प्लेटोईएसजी. कार्बन, क्लीनटेक, ऊर्जा, पर्यावरण, सौर, कचरा प्रबंधन। यहां पहुंचें।
• प्लेटोहेल्थ। बायोटेक और क्लिनिकल परीक्षण इंटेलिजेंस। यहां पहुंचें।
• स्रोत: https://www.darkreading.com/cloud-security/patch-exploit-activity-dangerous-apache-struts-bug