माइक्रोसॉफ्ट ने चेतावनी दी है: यह भूला हुआ ओपन-सोर्स वेब सर्वर हैकर्स को 'चुपचाप' आपके सिस्टम तक पहुंचने दे सकता है

माइक्रोसॉफ्ट ने एक अजीबोगरीब साइबर सुरक्षा खतरे के बारे में चिंता जताई है जो ओपन-सोर्स सॉफ्टवेयर (ओएसएस) आपूर्ति श्रृंखला सुरक्षा के बारे में सभी उद्यमों के लिए चेतावनी के रूप में कार्य करता है।

माइक्रोसॉफ्ट थ्रेट इंटेलिजेंस सेंटर (एमएसटीआईसी) ने इसकी अपनी जांच शुरू कर दी है अप्रैल 2022 की रिपोर्ट सुरक्षा विक्रेता रिकॉर्डेड फ़्यूचर द्वारा पिछले दो वर्षों से भारतीय बिजली क्षेत्र को निशाना बनाने वाले "संभावित चीनी राज्य-प्रायोजित" ख़तरनाक अभिनेता के बारे में।

रिकॉर्डेड फ़्यूचर ने समझौते के एक दर्जन से अधिक नेटवर्क संकेतकों (आईओसी) को सूचीबद्ध किया है, जो पिछले कुछ समय से देखे गए हैं 2021 और Q1 2022 का उपयोग भारत के ऊर्जा क्षेत्र में कई संगठनों के खिलाफ 38 घुसपैठ में किया गया था।

माइक्रोसॉफ्ट का कहना है कि नवीनतम संबंधित गतिविधि अक्टूबर 2022 में हुई थी, और उसका कहना है कि उसके शोधकर्ताओं ने "सभी आईपी पर एक कमजोर घटक" की पहचान की है। रिकॉर्ड फ़्यूचर द्वारा आईओसी के रूप में प्रकाशित पते और इसमें "आपूर्ति श्रृंखला जोखिम का सबूत मिला जो लाखों संगठनों को प्रभावित कर सकता है और उपकरण।"

"हमने कमजोर घटक का मूल्यांकन बोआ वेब सर्वर के रूप में किया, जिसका उपयोग अक्सर सेटिंग्स और प्रबंधन कंसोल और उपकरणों में साइन-इन स्क्रीन तक पहुंचने के लिए किया जाता है। 2005 में बंद होने के बावजूद, बोआ वेब सर्वर विभिन्न विक्रेताओं द्वारा विभिन्न प्रकार के IoT उपकरणों और लोकप्रिय सॉफ्टवेयर डेवलपमेंट किट (एसडीके) में कार्यान्वित किया जा रहा है। बोआ वेब सर्वर को प्रबंधित करने वाले डेवलपर्स के बिना, इसकी ज्ञात कमजोरियां हमलावरों को फाइलों से जानकारी एकत्र करके चुपचाप नेटवर्क तक पहुंच प्राप्त करने की अनुमति दे सकती हैं, "माइक्रोसॉफ्ट ने कहा।

भी: साइबर सुरक्षा नौकरियां: अपना करियर बनाने में मदद करने के पांच तरीके

बोआ वेब सर्वर, एक ओपन-सोर्स सॉफ्टवेयर प्रोजेक्ट, 2005 में छोड़ दिया गया था, लेकिन 17 साल बाद भी यह विभिन्न प्रकार के IoT उपकरणों और लोकप्रिय सॉफ्टवेयर डेवलपमेंट किट (एसडीके) में उपलब्ध है। एमएसटीआईसी के अनुसार.

"माइक्रोसॉफ्ट का आकलन है कि बोआ सर्वर रिकॉर्डेड फ्यूचर द्वारा प्रकाशित आईओसी की सूची के आईपी पते पर चल रहे थे रिपोर्ट जारी होने का समय और यह कि विद्युत ग्रिड हमले ने बोआ चलाने वाले उजागर IoT उपकरणों को लक्षित किया," माइक्रोसॉफ्ट कहते हैं.

बोआ वेब सर्वर का उपयोग अक्सर उपकरणों में सेटिंग्स और प्रबंधन कंसोल और साइन-इन स्क्रीन तक पहुंचने के लिए किया जाता है।

लेकिन चूंकि बोआ का अब रखरखाव नहीं किया जाता है, डिवाइस या सॉफ़्टवेयर डेवलपमेंट किट (एसडीके) जो अभी भी इसका उपयोग करते हैं, इसे छोड़े जाने की तारीख के बाद से किसी भी ज्ञात कमजोरियों को बरकरार रखेंगे।

भी: साइबर सुरक्षा वास्तव में क्या है? और क्यों इससे फर्क पड़ता है?

माइक्रोसॉफ्ट को संदेह है कि बोआ लोकप्रिय एसडीके में अपनी मौजूदगी के कारण आईओटी उपकरणों में लोकप्रिय बना हुआ है इसमें ऐसे फ़ंक्शन शामिल होते हैं जो माइक्रोचिप्स में सिस्टम ऑन चिप (एसओसी) पर काम करते हैं, जैसे कम-शक्ति वाले उपकरणों में उपयोग किया जाता है राउटर.

एक उदाहरण रीयलटेक एसडीके है, जिसका उपयोग एसओसी में किया जाता है और उन कंपनियों को प्रदान किया जाता है जो राउटर, एक्सेस पॉइंट और रिपीटर्स जैसे नेटवर्क गेटवे का निर्माण करती हैं। एक गंभीर दोष सीवीई-2021-35395 संबंधित रियलटेक का जंगल एसडीके, जिसमें बोआ पर आधारित एक प्रबंधन इंटरफ़ेस शामिल था। जबकि रियलटेक ने एसडीके के लिए पैच जारी किए थे, कुछ निर्माताओं ने उन्हें फर्मवेयर अपडेट में शामिल नहीं किया होगा। इसलिए, आपूर्ति श्रृंखला जोखिम है जिसके बारे में Microsoft चिंतित है।

माइक्रोसॉफ्ट के अनुसार, हमलावर फाइलों से जानकारी एकत्र करके नेटवर्क तक पहुंचने के लिए वेब सर्वर की कमजोरियों का फायदा उठा सकते हैं। साथ ही, संगठन नेटवर्क उपकरणों का उपयोग कर रहे होंगे और इस बात से अनजान होंगे कि वे बोआ का उपयोग करके सेवाएँ चला रहे हैं।

"हालांकि रियलटेक एसडीके कमजोरियों के लिए पैच उपलब्ध हैं, हो सकता है कि कुछ विक्रेताओं ने इसमें शामिल न किया हो उन्हें उनके डिवाइस फर्मवेयर अपडेट में, और अपडेट में बोआ के लिए पैच शामिल नहीं हैं कमजोरियाँ। बोआ सर्वर कई ज्ञात कमजोरियों से प्रभावित हैं, जिनमें मनमानी फ़ाइल पहुंच शामिल है (सीवीई-2017-9833) और सूचना प्रकटीकरण (सीवीई-2021-33558),'' माइक्रोसॉफ्ट नोट करता है।

"ये कमजोरियाँ हमलावरों को पढ़ने के द्वारा डिवाइस तक पहुंच प्राप्त करने के बाद दूरस्थ रूप से कोड निष्पादित करने की अनुमति दे सकती हैं डिवाइस से "passwd" फ़ाइल या किसी उपयोगकर्ता को निकालने के लिए वेब सर्वर में संवेदनशील यूआरआई तक पहुंच साख। इसके अलावा, इन कमजोरियों का फायदा उठाने के लिए किसी प्रमाणीकरण की आवश्यकता नहीं होती है, जिससे वे आकर्षक लक्ष्य बन जाते हैं।"