प्रसिद्ध और व्यापक रूप से उपयोग किए जाने वाले वेब होस्टिंग कंट्रोल वेब पैनल (CWP) में 9.8 से CVSSv3.1 तक एक महत्वपूर्ण सुरक्षा भेद्यता है। हमलावर सर्वर पर गोले स्थापित कर सकते हैं या जानकारी एकत्र और निकाल सकते हैं।
3 जनवरी, 2023 को Gais Cyber Security के IT सुरक्षा शोधकर्ता नुमन टर्ले ने सर्वर प्रबंधन सॉफ़्टवेयर कंट्रोल वेब पैनल (CWP) - पूर्व में CentOS वेब पैनल में भेद्यता के लिए अवधारणा का प्रमाण प्रकाशित किया। भेद्यता एक दूरस्थ, अप्रमाणित हमलावर को इनपुट न्यूट्रलाइजेशन की कमी के आधार पर प्रभावित सिस्टम पर कोड निष्पादित करने की अनुमति देती है। सूचना के प्रकटीकरण ने एक पूर्ण भेद्यता समन्वय प्रक्रिया का पालन किया जिसे टर्ले ने पिछले अक्टूबर में निर्माता में शुरू किया था।
CVSSv9.8 के बाद 3.1 के साथ "महत्वपूर्ण" भेद्यता के रूप में
सामान्य भेद्यता स्कोरिंग सिस्टम के अनुसार, भेद्यता को 9.8 (सीवीएसएसवी3.1) के मान के साथ "महत्वपूर्ण" के रूप में वर्गीकृत किया गया है। भेद्यता को सामान्य भेद्यता और जोखिम में CVE-2022-44877 संख्या के तहत सूचीबद्ध किया गया है। प्रकाशन के कुछ दिनों बाद से ही कमजोर प्रणालियों पर हमला करने का प्रयास किया जा रहा था। हमलावरों के अलग-अलग अंदाज देखे गए। अन्य बातों के अलावा, सर्वर पर गोले स्थापित किए गए थे, और कुछ मामलों में हमले सूचना संग्रह तक सीमित थे।
CWP का व्यापक उपयोग, अवधारणा का वर्तमान प्रमाण और भेद्यता की तुलनात्मक रूप से सरल शोषण क्षमता का अर्थ है कि साइबर हमले की संभावना का वर्तमान में बहुत अधिक मूल्यांकन किया जाना चाहिए। यहां तक कि अगर हमलावर कभी-कभी खुद को जानकारी इकट्ठा करने तक सीमित रखते हैं, तो प्राप्त ज्ञान का उपयोग बाद के हमलों की तैयारी के लिए किया जा सकता है।
अपडेट लंबे समय से उपलब्ध है
कंट्रोल वेब पैनल के डेवलपर्स ने 25 अक्टूबर, 2022 को एक अपडेट जारी किया जो भेद्यता को बंद कर देता है। IT सुरक्षा अधिकारियों को कम से कम इस अद्यतन या नए संस्करण (संस्करण 0.9.8.1148) की जितनी जल्दी हो सके जाँच और स्थापना करनी चाहिए। उसी समय, लॉग फ़ाइलों की जाँच की जानी चाहिए ताकि हमले के प्रयासों का पता लगाया जा सके जो पहले ही हो चुके हैं। युक्तियाँ, उदाहरण के लिए, सिस्टम में किए गए परिवर्तन या संदिग्ध IP पतों से एक्सेस हो सकती हैं। सुरक्षा-प्रासंगिक घटनाओं का पता लगाने के बारे में अधिक जानकारी IT-Grundschutz में पाई जा सकती है।
BSI.bund.de पर अधिक
सूचना सुरक्षा के लिए संघीय कार्यालय (BSI) के बारे में सूचना सुरक्षा के लिए संघीय कार्यालय (BSI) संघीय साइबर सुरक्षा प्राधिकरण और जर्मनी में सुरक्षित डिजिटलीकरण का डिज़ाइनर है। मिशन वक्तव्य: बीएसआई, संघीय साइबर सुरक्षा प्राधिकरण के रूप में, राज्य, व्यापार और समाज के लिए रोकथाम, पहचान और प्रतिक्रिया के माध्यम से डिजिटलीकरण में सूचना सुरक्षा को डिजाइन करता है।