अपाचे स्ट्रट्स
अपाचे स्ट्रट्स में पाए गए एक गंभीर भेद्यता के बारे में जानकारी पिछले सप्ताह सामने आई थी। भेद्यता के विवरण के साथ सार्वजनिक रूप से भेद्यता की अवधारणा का एक प्रमाण भी प्रकाशित किया गया था। तब से, ऐसा लगता है कि दुर्भावनापूर्ण हमलावरों ने उपयोगकर्ताओं के उपकरणों पर क्रिप्टोक्यूरेंसी माइनिंग सॉफ़्टवेयर को दूरस्थ रूप से स्थापित करने के लिए बार-बार भेद्यता का दोहन करने और शोषण के माध्यम से क्रिप्टोक्यूरेंसी को चोरी करने के लिए निर्धारित किया है। भेद्यता को CVE पहचान लेबल आवंटित किया गया है CVE-2,018-11,776 ।
यह व्यवहार पहले सुरक्षा और डेटा संरक्षण आईटी कंपनी, Volexity द्वारा देखा गया था, और इसकी खोज के बाद से, अपाचे स्ट्रट्स भेद्यता की महत्वपूर्ण गंभीरता पर ध्यान आकर्षित करते हुए, शोषण की दर तेजी से बढ़ रही है। कंपनी ने इस मुद्दे पर निम्नलिखित बयान जारी किया: 'Volexity ने CNRig cryptocurrency miner को स्थापित करने के लिए CVE-2018-11776 en masse का फायदा उठाने की कोशिश करने वाले कम से कम एक खतरे वाले अभिनेता को देखा है। प्रारंभिक अवलोकन स्कैनिंग की उत्पत्ति रूसी और फ्रांसीसी आईपी पते 95.161.225.94 और 167.114.171.27 से हुई है। ”
इस तरह के हाई प्रोफाइल वेब एप्लिकेशन प्लेटफॉर्म और अपाचे स्ट्रट्स जैसे सेवाओं के साथ, कमजोरियों की तत्काल प्रतिक्रिया के साथ-साथ चिंताओं के पर्याप्त और प्रभावी पैचिंग का सार है। जब पिछले सप्ताह शुरू में भेद्यता की खोज की गई थी, तो कई अलग-अलग प्लेटफार्मों पर अवधारणा के प्रमाण के साथ इसे आगे लाने वाले उपयोगकर्ताओं ने अपने संबंधित प्लेटफार्मों के प्रशासकों और साथ ही उत्पाद के विक्रेता से उपयोगकर्ताओं के डेटा और सेवाओं की सुरक्षा के लिए तत्काल कार्रवाई करने का आग्रह किया। उल्लेखनीय डेटा चोरी की घटनाएं अतीत में हुई हैं जो असामयिक पैचिंग और अद्यतन के कारण शोषणकारी रही हैं।
Apache Software Foundation ने उपयोगकर्ताओं से अपने Struts को संस्करणों में अपडेट करने के लिए कहा है 2.3.35 2.3.x श्रृंखला के लिए और 2.5.17 इस भेद्यता द्वारा उत्पन्न जोखिमों को कम करने के लिए क्रमशः 2.5.x श्रृंखला के लिए। दोनों अपडेट फर्म की वेबसाइट पर उपलब्ध हैं। दोनों अद्यतनों में किए गए प्रमुख आंतरिक परिवर्तनों में एक संभावित रिमोट कोड निष्पादन की शमनता शामिल है, जिसका कोई नामस्थान, कोई वाइल्डकार्ड, और कोई मान URL समस्याओं के कारण दोहन करने के लिए उधार नहीं है। इसके अलावा, अपडेट को 'महत्वपूर्ण समग्र सक्रिय सुरक्षा में सुधार' लाने के लिए भी कहा जाता है।
टैग क्रिप्टो
