ইউএস সাইবারসিকিউরিটি অ্যান্ড ইনফ্রাস্ট্রাকচার সিকিউরিটি এজেন্সি (সিআইএসএ) মাইক্রোসফ্ট, লিনাক্স এবং জেনকিন্স সহ সক্রিয়ভাবে শোষিত সুরক্ষা সমস্যাগুলির তালিকায় সাতটি দুর্বলতা যুক্ত করেছে।

'ক্যাটালগ অফ নোন এক্সপ্লয়েটেড ভালনারেবিলিটি' হল দুর্বলতার একটি তালিকা যা সাইবার আক্রমণে সক্রিয়ভাবে শোষিত বলে পরিচিত এবং ফেডারেল সিভিলিয়ান এক্সিকিউটিভ ব্রাঞ্চ (এফসিইবি) এজেন্সিগুলির দ্বারা প্যাচ করা প্রয়োজন৷

'বাইন্ডিং অপারেটিং ডাইরেক্টিভ (BOD) 22-01: পরিচিত শোষিত দুর্বলতাগুলির উল্লেখযোগ্য ঝুঁকি হ্রাস পরিচিত শোষিত দুর্বলতার ক্যাটালগকে পরিচিত CVEগুলির একটি জীবন্ত তালিকা হিসাবে প্রতিষ্ঠিত করেছে যা ফেডারেল এন্টারপ্রাইজের জন্য উল্লেখযোগ্য ঝুঁকি বহন করে,' CISA ব্যাখ্যা করে৷

'BOD 22-01-এর জন্য FCEB এজেন্সিগুলিকে এফসিইবি নেটওয়ার্কগুলিকে সক্রিয় হুমকি থেকে রক্ষা করার জন্য মেয়াদ শেষ হওয়ার তারিখের মধ্যে চিহ্নিত দুর্বলতাগুলি প্যাচ করতে হবে৷ আরও তথ্যের জন্য BOD ফ্যাক্ট শিট 22-01 দেখুন।'

'ক্যাটালগে তালিকাভুক্ত দুর্বলতাগুলি হুমকি অভিনেতাদের শংসাপত্র চুরি করা, নেটওয়ার্ক অ্যাক্সেস অর্জন, দূরবর্তীভাবে কমান্ড কার্যকর করা, ম্যালওয়্যার ডাউনলোড এবং কার্যকর করা, বা ডিভাইসের তথ্য চুরি সহ বিভিন্ন ধরণের আক্রমণ করতে দেয়৷'

এই সাতটি দুর্বলতা যুক্ত করার সাথে, ক্যাটালগে এখন 654টি দুর্বলতা রয়েছে, যে তারিখের দ্বারা সংশ্লিষ্ট নিরাপত্তা প্যাচ এবং আপডেটগুলি ফেডারেল এজেন্সিগুলি প্রয়োগ করতে হবে।

এই সপ্তাহে যোগ করা সাতটি নতুন দুর্বলতা নীচে তালিকাভুক্ত করা হয়েছে, এবং CISA তাদের সকলকে 16 মে, 2022 এর মধ্যে প্যাচ করতে হবে।

কিভাবে এই বাগ আক্রমণ ব্যবহার করা হয়?

যদিও এটি একটি বাগ শোষণ করা হচ্ছে তা জানা দরকারী, তবে এটি আক্রমণে কীভাবে সক্রিয়ভাবে ব্যবহৃত হয় তা বোঝা আরও বেশি কার্যকর।

CVE-2022-29464 হিসাবে ট্র্যাক করা WSO2 দুর্বলতা 18 এপ্রিল, 2022-এ প্রকাশ করা হয়েছিল এবং কিছু দিন পরে একটি পাবলিক শোষণ প্রকাশ করা হয়েছিল। Rapid7 গবেষকরা শীঘ্রই ওয়েব শেল এবং কয়েনমাইনারগুলি প্রয়োগ করার জন্য আক্রমণে ব্যবহৃত পাবলিক PoC দেখতে পান।

CVE-2022-21919 এবং CVE-2022-26904 হিসাবে ট্র্যাক করা উইন্ডোজ 'ইউজার প্রোফাইল সার্ভিস প্রিভিলেজ এসকেলেশন' দুর্বলতাগুলি আবিষ্কার করেছে আবদেল হামিদ নাসিরি এবং পরবর্তীতে বাদ দেওয়া হয়েছে একটি আসল CVE-2021-34484 দুর্বলতা থেকে যা আগস্ট 2021-এ প্যাচ করা হয়েছে৷ এই সমস্ত দুর্বলতাগুলির একটি সর্বজনীন PoC প্রকাশ করা হয়েছে, এবং BleepingComputer কে বলা হয়েছে যে সেগুলি উইন্ডোজ ডোমেনের মাধ্যমে পার্শ্ববর্তীভাবে ছড়িয়ে দেওয়ার জন্য র্যানসমওয়্যার গ্যাং দ্বারা ব্যবহার করা হয়৷

'DirtyPipe' নামে পরিচিত Linux বিশেষাধিকার বৃদ্ধির দুর্বলতাকে CVE-2022-0847 হিসাবে ট্র্যাক করা হয়েছে এবং মার্চ 2022-এ প্রকাশ করা হয়েছিল। এর প্রকাশের অল্প সময়ের মধ্যেই, অনেকগুলি প্রমাণ-অফ-ধারণার শোষণ প্রকাশ করা হয়েছিল, যার ফলে ব্যবহারকারীরা দ্রুত রুট সুবিধাগুলি অর্জন করতে পারবেন, নিচে.

CVE-2022-0847 ডার্টি পাইপ দুর্বলতা প্রদর্শন
সূত্র: ব্লিপিং কম্পিউটার

CVE-2021-40450 এবং CVE-2021-41357 'Microsoft Win32k প্রিভিলেজ এসকেলেশন' দুর্বলতাগুলি 2021 সালের অক্টোবরে প্যাচ করা হয়েছিল এবং তালিকায় একটি আকর্ষণীয় সংযোজন কারণ বন্য অঞ্চলে তাদের শোষিত হওয়ার কোনও প্রকাশ্য উল্লেখ নেই৷

অবশেষে, প্রাচীনতম দুর্বলতা হল 'জেনকিন্স স্ক্রিপ্ট সিকিউরিটি প্লাগইন স্যান্ডবক্স বাইপাস' বাগ যা CVE-2019-1003029 হিসাবে ট্র্যাক করা হয়েছে, যা Capoae Malware অতীতে XMRig ক্রিপ্টোমাইনার স্থাপন করতে ব্যবহার করেছে।

এটি দৃঢ়ভাবে সুপারিশ করা হয় যে সমস্ত নিরাপত্তা পেশাদার এবং প্রশাসক পরিচিত শোষিত দুর্বলতার ক্যাটালগ পর্যালোচনা করুন এবং তাদের পরিবেশের মধ্যে যে কোনও প্যাচ করুন।