सुरक्षा फर्म सेंटिनलऑन ने 11 जनवरी की एडवाइजरी में कहा है कि बड़ी संख्या में राउटर और नेटवर्क वाले उपकरणों में एकीकृत सॉफ्टवेयर घटक में एक भेद्यता का दूर से फायदा उठाया जा सकता है, संभावित रूप से लाखों राउटर को खतरे में डाल सकता है।

सॉफ़्टवेयर दोष तृतीय-पक्ष सॉफ़्टवेयर डेवलपर KCodes द्वारा बेचे गए कर्नेल मॉड्यूल में होता है। यह नेटवर्क पर यूएसबी कनेक्टिविटी की अनुमति देने के लिए कई जुड़े उत्पादों में उपयोग किया जाता है। नेटगियर, डी-लिंक, वेस्टर्न डिजिटल, और अन्य फर्मों द्वारा बनाए गए राउटर को दोष के शोषण के लिए कमजोर होने के लिए सत्यापित किया गया है, इस मुद्दे की खोज करने वाले सेंटिनलऑन के भेद्यता शोधकर्ता मैक्स वान अमेरोंगेन कहते हैं।

कर्नेल पैनिक पैदा करने के लिए भेद्यता का शोषण करना काफी आसान है, दूरस्थ निष्पादन अधिक कठिन है, वे कहते हैं।

“यदि आप केवल सेवा से इनकार करना चाहते हैं, तो यह बहुत अधिक एक पैकेट है – या कुछ पैकेट – और आप कर चुके हैं,” वे कहते हैं। “कोड निष्पादन के संदर्भ में, यह बहुत अधिक जटिल है, विशेष रूप से क्योंकि यह एक स्टैक भेद्यता नहीं है, यह एक ढेर भेद्यता है, जिसका अर्थ है कि कोड निष्पादन कार्य करने में बहुत अधिक घटक शामिल हैं।”

घर और छोटे व्यवसाय राउटर में कमजोरियां कुख्यात रूप से खतरनाक साइबर सुरक्षा मुद्दे हैं। जबकि एक दोष की पहचान की जा सकती है और निर्माता द्वारा प्रदान किए गए नए सॉफ़्टवेयर, अधिकांश घरेलू उपयोगकर्ताओं और छोटे व्यवसायों को पैच करने की संभावना नहीं है। एक निर्माता के राउटर के एक सर्वेक्षण में, उदाहरण के लिए, 300,000 से अधिक हमले की चपेट में रहे साल पुरानी खामियों का इस्तेमाल जिसे पहले ही पैच कर दिया गया था। 2018 के एक अध्ययन में, अमेरिकन कंज्यूमर इंस्टीट्यूट के सेंटर फॉर सिटीजन रिसर्च ने पाया कि 186 सैंपल राउटर (83%) में से 155 में कमजोरियां थीं।

सेंटिनलऑन ने सितंबर में इस मुद्दे की पहचान की, पुष्टि की कि केकोड्स ने अक्टूबर में एक पैच जारी किया, और पुष्टि की कि नेटगियर ने दिसंबर में अपने उपकरणों को ठीक करने के लिए फर्मवेयर जारी किया था। कंपनी की सलाह में एक समयरेखा. फिर भी, उपयोगकर्ताओं को पैच लगाने के लिए प्राप्त करना एक समस्या होगी, वैन अमेरॉन्गन कहते हैं।

“मैं कई विक्रेताओं को नहीं देखता जो घरेलू उपयोगकर्ताओं के लिए स्वचालित पैच करते हैं, इसलिए इसे ठीक करना एक बड़ी समस्या होगी,” वे कहते हैं। “उन्होंने कहा कि उन्होंने इसे अन्य सभी विक्रेताओं के लिए धकेल दिया है, इसलिए हमें वास्तव में उन्हें उनके शब्द पर लेने की आवश्यकता है कि इन सभी विक्रेताओं के पास एक पैच है।”

वार्षिक Pwn2Own प्रतियोगिता में प्रस्तुत करने के लिए संभावित मुद्दों के लिए नेटगियर राउटर्स को देखने का निर्णय लेने के बाद वैन अमेरोंगेन ने दोष पाया। KCodes NetUSB घटक USB प्रोटोकॉल का उपयोग करके कंप्यूटर को प्रिंटर से कनेक्ट करने की अनुमति देता है, लेकिन सीधे केबल के बजाय नेटवर्क पर ट्रैफ़िक भेजकर। शोषण निष्पादन हासिल करने के लिए ढेर को ओवरफ्लो करने का प्रयास करता है, लेकिन प्रक्रिया जटिल है, वे कहते हैं। स्टैक ओवरफ्लो की तुलना में हीप ओवरफ्लो बहुत कम विश्वसनीय होते हैं।

हालाँकि, क्योंकि राउटर इंटरनेट से जुड़े होते हैं, इसलिए हमला दूर से किया जा सकता है। इसके अलावा, KCode NetUSB मॉड्यूल वाले वाई-फाई राउटर भी असुरक्षित हो सकते हैं।

“हम विशेष रूप से इसे आसान नहीं बनाने के लिए कोई शोषण कोड जारी नहीं कर रहे हैं,” वैन अमेरोन्गेन कहते हैं। “बिना किसी प्रतिक्रिया के इंटरनेट पर शोषण करना काफी जटिल बात है। इसलिए मैं आपके औसत साइबर अपराधी को इसका उपयोग करते हुए नहीं देख सकता, कम से कम निकट भविष्य में तो नहीं।”

भेद्यता नेटवर्क वर्चुअलाइजेशन लाइब्रेरी में एक दोष के समान दिखाई देती है जिसे एल्टिमा द्वारा बनाया गया था और इसका उपयोग अमेज़ॅन और अन्य कंपनियों द्वारा किया जाता है। Eltima भेद्यता, जो सेंटिनलऑन ने दिसंबर में घोषणा की, वर्चुअल नेटवर्किंग के लिए सॉफ़्टवेयर डेवलपमेंट किट (SDK) में होता है, जो USB को क्लाउड में उपयोग करने की अनुमति देता है।

यह ध्यान रखना महत्वपूर्ण है कि ये मुद्दे संबंधित नहीं हैं और पूरी तरह से अलग-अलग उत्पादों को प्रभावित करते हैं, वैन अमेरोन्गेन कहते हैं।

“मुझे नहीं पता था कि मेरी टीम का साथी इस मुद्दे पर काम कर रहा था,” वे कहते हैं। “फिर जब मैंने देखा कि हम दोनों नेटवर्क-यूएसबी चीजें कर रहे हैं, तो यह थोड़ा आश्चर्य की बात थी।”

सुरक्षा फर्म ने कहा कि 20 दिसंबर को Netgear द्वारा अपने D7800, R6400, और R6700 वायरलेस राउटर में पैच किया गया एक मुद्दा SentinelOne की 11 जनवरी की एडवाइजरी में विस्तृत भेद्यता है। जबकि नेटगियर एडवाइजरी में कहा गया है कि पैच “पूर्व-प्रमाणीकरण बफर अतिप्रवाह सुरक्षा भेद्यता” को ठीक करता है, यह विशेष रूप से दोष के लिए पहचानकर्ता, CVE-2021-45388 का संदर्भ नहीं देता है।

SentinelOne ने कहा कि वह अपना शोषण कोड जारी नहीं करेगा, लेकिन चेतावनी दी है कि अन्य शोधकर्ता और साइबर हमलावर इस मुद्दे की पहचान करने में सक्षम होंगे।

“चूंकि यह भेद्यता विभिन्न राउटर विक्रेताओं के लिए लाइसेंस प्राप्त तीसरे पक्ष के घटक के भीतर है, इसे ठीक करने का एकमात्र तरीका अपने राउटर के फर्मवेयर को अपडेट करना है, अगर कोई अपडेट उपलब्ध है,” कंपनी ने अपनी सलाह में कहा। “यह जांचना महत्वपूर्ण है कि आपका राउटर एंड-ऑफ़-लाइफ मॉडल नहीं है क्योंकि इस भेद्यता के लिए अपडेट प्राप्त करने की संभावना नहीं है।”


Source link

LEAVE A REPLY

Please enter your comment!
Please enter your name here