سیکورٹی محققین نے دریافت کیا ہے کہ انہوں نے نسبتاً وسیع پیمانے پر استعمال ہونے والے PHPFusion اوپن سورس کنٹینٹ مینجمنٹ سسٹم (CMS) میں ایک اہم خطرے کے طور پر بیان کیا ہے۔
تصدیق شدہ مقامی فائل کی شمولیت کی خامی، جس کی نشاندہی کی گئی ہے۔ CVE-2023-2453, ریموٹ کوڈ پر عمل درآمد کی اجازت دیتا ہے اگر کوئی حملہ آور بدنیتی سے تیار کردہ ".php" فائل کو ٹارگٹ سسٹم پر معلوم راستے پر اپ لوڈ کر سکتا ہے۔
یہ ان دو کمزوریوں میں سے ایک ہے جن پر محققین ہیں۔ Synopsys حال ہی میں دریافت کیا پی ایچ پی فیوژن میں۔ دوسری خامی، جسے CVE-2023-4480 کے طور پر ٹریک کیا جاتا ہے، CMS میں ایک اعتدال پسند بگ ہے جو حملہ آوروں کو متاثرہ سسٹم پر فائلوں کے مواد کو پڑھنے اور اس پر من مانی جگہوں پر فائلیں لکھنے کا طریقہ فراہم کرتا ہے۔
کمزوریاں PHPFusion اور اس سے پہلے کے ورژن 9.10.30 میں موجود ہیں۔ کسی بھی خامی کے لیے فی الحال کوئی پیچ دستیاب نہیں ہے۔
ابھی تک کوئی پیچ دستیاب نہیں ہے۔
Synopsys نے کہا کہ اس نے PHPFusion کے منتظمین سے متعدد بار رابطہ کرنے کی کوشش کی، پہلے ای میل کے ذریعے، پھر کمزوری کے انکشاف کے عمل کے ذریعے، پھر GitHub، اور آخر میں ایک کمیونٹی فورم کے ذریعے، اس ہفتے اس کا انکشاف کرنے سے پہلے۔ پی ایچ پی فیوژن نے ڈارک ریڈنگ سے تبصرہ کرنے کی درخواست کا جواب نہیں دیا۔
پی ایچ پی فیوژن ایک اوپن سورس سی ایم ایس ہے جو 2003 سے دستیاب ہے۔ اگرچہ یہ دیگر مواد کے انتظام کے نظام جیسے ورڈپریس، ڈروپل، اور جملہ کے طور پر معروف نہیں ہے، کچھ 15 ملین ویب سائٹ پروجیکٹ کی ویب سائٹ کے مطابق، دنیا بھر میں فی الحال اسے استعمال کیا جا رہا ہے۔ چھوٹے اور درمیانے سائز کے کاروبار اکثر اسے آن لائن فورمز، کمیونٹی سے چلنے والی ویب سائٹس، اور دیگر آن لائن پروجیکٹس بنانے کے لیے استعمال کرتے ہیں۔
Synopsis کے مطابق، CVE-2023-2453 داغدار فائل ناموں کے ساتھ مخصوص قسم کی فائلوں کی غلط صفائی سے پیدا ہوتا ہے۔ یہ مسئلہ حملہ آوروں کو ایک خطرناک PHPFusion سرور پر ایک صوابدیدی .php فائل کو اپ لوڈ کرنے اور اس پر عمل کرنے کا ایک ممکنہ طریقہ فراہم کرتا ہے۔
استحصال کے لیے شرائط
Synopsys' Software Integrity Group کے سافٹ ویئر انجینئر میتھیو ہوگ کہتے ہیں، "اس خطرے سے فائدہ اٹھانے کے لیے مؤثر طریقے سے دو تقاضے ہیں۔" ان میں سے ایک یہ ہے کہ حملہ آور کو کم از کم ایک کم مراعات یافتہ اکاؤنٹ کی توثیق کرنے کے قابل ہونے کی ضرورت ہے، اور دوسرا یہ ہے کہ انہیں کمزور اختتامی نقطہ کو جاننے کی ضرورت ہے۔ "دونوں معیارات کو پورا کرنے سے، ایک بدنیتی پر مبنی اداکار اس کمزوری سے فائدہ اٹھانے کے لیے ایک پے لوڈ تیار کرنے کے قابل ہو جائے گا،" ہوگ کہتے ہیں۔
Synopsys کے خطرے کے انتظام کے انجینئر، Ben Ronallo کا کہنا ہے کہ یہ نوٹ کرنا ضروری ہے کہ حملہ آور کو کمزور سسٹم پر کسی بھی جگہ پر بدنیتی سے تیار کردہ .php پے لوڈ کو اپ لوڈ کرنے کے لیے کوئی نہ کوئی طریقہ تلاش کرنے کی ضرورت ہوگی۔ "حملہ آور کو PHPFusion کے ماخذ کوڈ کا جائزہ لینے کی ضرورت ہوگی تاکہ کمزور اختتامی نقطہ کی نشاندہی کی جا سکے،" Ronallo کہتے ہیں۔
کمزوری کا فائدہ اٹھانے کے بعد حملہ آور کیا کر سکتا ہے اس کا انحصار PHPFusion صارف کے اکاؤنٹ سے وابستہ مراعات پر ہے۔ ایڈمنسٹریٹر کی اسناد تک رسائی والا حملہ آور، مثال کے طور پر، بنیادی آپریٹنگ سسٹم پر صوابدیدی فائلوں کو پڑھ سکتا ہے۔ "بدترین صورت میں، ایک حملہ آور ریموٹ کوڈ ایگزیکیوشن (RCE) حاصل کر سکتا ہے، بشرطیکہ ان کے پاس شامل کرنے کے لیے ہدف بنانے کے لیے پے لوڈ فائل اپ لوڈ کرنے کے لیے کچھ ذرائع ہوں،" وہ کہتے ہیں۔ "دونوں معاملات کے نتیجے میں حساس معلومات کی چوری ہو سکتی ہے، اور مؤخر الذکر کمزور سرور پر کنٹرول کی اجازت دے سکتا ہے۔"
دریں اثنا، Synopsys نے PHPFusion (CVE-2023-4480) میں جو کم شدید بگ دریافت کیا ہے وہ فیوژن فائل مینیجر کے جزو میں پرانے انحصار سے منسلک ہے جو CMS کے ایڈمن پینل کے ذریعے قابل رسائی ہے۔ Synopsys نے کہا کہ ایڈمنسٹریٹر یا سپر ایڈمنسٹریٹر کی مراعات کے ساتھ حملہ آور کمزور سسٹم پر فائلوں کے مواد کو ظاہر کرنے یا سرور کے فائل سسٹم پر معلوم راستوں پر مخصوص قسم کی فائلیں لکھنے کے لیے کمزوری کا فائدہ اٹھا سکتا ہے۔
- SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
- پلیٹو ڈیٹا ڈاٹ نیٹ ورک ورٹیکل جنریٹو اے آئی۔ اپنے آپ کو بااختیار بنائیں۔ یہاں تک رسائی حاصل کریں۔
- پلیٹوآئ اسٹریم۔ ویب 3 انٹیلی جنس۔ علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
- پلیٹو ای ایس جی۔ آٹوموٹو / ای وی، کاربن، کلین ٹیک، توانائی ، ماحولیات، شمسی، ویسٹ مینجمنٹ یہاں تک رسائی حاصل کریں۔
- پلیٹو ہیلتھ۔ بائیوٹیک اینڈ کلینیکل ٹرائلز انٹیلی جنس۔ یہاں تک رسائی حاصل کریں۔
- چارٹ پرائم۔ ChartPrime کے ساتھ اپنے ٹریڈنگ گیم کو بلند کریں۔ یہاں تک رسائی حاصل کریں۔
- بلاک آفسیٹس۔ ماحولیاتی آفسیٹ ملکیت کو جدید بنانا۔ یہاں تک رسائی حاصل کریں۔
- ماخذ: https://www.darkreading.com/application-security/researchers-discover-critical-vulnerability-in-phpfusion-cms
- : ہے
- : ہے
- : نہیں
- 10
- 30
- 7
- 9
- a
- قابلیت
- تک رسائی حاصل
- قابل رسائی
- کے مطابق
- اکاؤنٹ
- حاصل
- منتظم
- منتظمین
- کے بعد
- کی اجازت
- کی اجازت دیتا ہے
- بھی
- an
- اور
- کوئی بھی
- ارد گرد
- AS
- منسلک
- At
- کوشش کی
- تصدیق
- تصدیق شدہ
- دستیاب
- BE
- رہا
- اس سے پہلے
- دونوں
- بگ کی اطلاع دیں
- عمارت
- کاروبار
- by
- کر سکتے ہیں
- کیس
- مقدمات
- کچھ
- سینٹی میٹر
- کوڈ
- تبصرہ
- کمیونٹی
- کمیونٹی کارفرما ہے
- جزو
- رابطہ کریں
- مواد
- مندرجات
- کنٹرول
- سکتا ہے
- شلپ
- تیار کیا
- اسناد
- معیار
- اہم
- اس وقت
- گہرا
- گہرا پڑھنا
- انحصار
- انحصار کرتا ہے
- بیان کیا
- DID
- ظاہر
- انکشاف کرنا
- انکشاف
- دریافت
- دریافت
- do
- اس سے قبل
- مؤثر طریقے
- یا تو
- ای میل
- اختتام پوائنٹ
- انجینئر
- عملدرآمد
- پھانسی
- وجود
- دھماکہ
- استحصال
- استحصال کرنا
- فائل
- فائلوں
- آخر
- مل
- پہلا
- غلطی
- کے لئے
- فورم
- فورمز
- سے
- پورا
- فیوژن
- GitHub کے
- فراہم کرتا ہے
- گروپ
- ہے
- he
- HTTPS
- کی نشاندہی
- شناخت
- if
- اہم
- in
- شمولیت
- معلومات
- مثال کے طور پر
- سالمیت
- مسئلہ
- IT
- فوٹو
- جان
- جانا جاتا ہے
- کم سے کم
- کم
- مقامی
- محل وقوع
- مقامات
- انتظام
- مینیجر
- میٹھی
- مئی..
- کا مطلب ہے کہ
- دس لاکھ
- ایک سے زیادہ
- ضرورت ہے
- ضروریات
- نیسٹ
- نہیں
- of
- اکثر
- on
- ایک
- آن لائن
- کھول
- اوپن سورس
- کام
- آپریٹنگ سسٹم
- or
- دیگر
- پر
- پینل
- پیچ
- راستہ
- پی ایچ پی
- پلاٹا
- افلاطون ڈیٹا انٹیلی جنس
- پلیٹو ڈیٹا
- ممکنہ
- استحقاق
- عمل
- منصوبے
- منصوبوں
- فراہم
- پڑھیں
- پڑھنا
- نسبتا
- ریموٹ
- درخواست
- ضروریات
- محققین
- جواب
- نتیجہ
- کا جائزہ لینے کے
- s
- کہا
- کا کہنا ہے کہ
- حساس
- شدید
- بعد
- چھوٹے
- سافٹ ویئر کی
- سافٹ ویئر انجنیئر
- کچھ
- ماخذ
- ماخذ کوڈ
- تنوں
- اس طرح
- سپر
- خلاصہ
- کے نظام
- سسٹمز
- ہدف
- کہ
- ۔
- ماخذ
- دنیا
- چوری
- ان
- تو
- وہ
- اس
- اس ہفتے
- اگرچہ؟
- کے ذریعے
- بندھے ہوئے
- اوقات
- کرنے کے لئے
- دو
- اقسام
- بنیادی
- استعمال کی شرائط
- استعمال کیا جاتا ہے
- رکن کا
- ورژن
- کی طرف سے
- نقصان دہ
- خطرے کا سامنا
- قابل اطلاق
- راستہ..
- ویب سائٹ
- ویب سائٹ
- ہفتے
- اچھا ہے
- کیا
- ڈبلیو
- بڑے پیمانے پر
- ساتھ
- WordPress
- دنیا
- بدترین
- گا
- لکھنا
- زیفیرنیٹ