সফটএনএএস ক্লাউড ওএস সংস্করণগুলি 4.0.3 এর নীচে রিমোট কোড এক্সিকিউশনটির পক্ষে ক্ষতিগ্রস্থ

সফটএনএএস ইনকর্পোরেশনের ক্লাউড ডেটা ম্যানেজমেন্ট প্ল্যাটফর্মে একটি বিশেষাধিকার শীর্ষে রিমোট কোড এক্সিকিউশন দুর্বলতা আবিষ্কার করা হয়েছিল যা একটিতে বর্ণিত হয়েছে সুরক্ষা বুলেটিন সংস্থা নিজেই প্রকাশ করেছে। দুর্বলতাটি ওয়েব প্রশাসনের কনসোলে বিদ্যমান বলে প্রমাণিত হয়েছে যা দূষিত হ্যাকারকে অনুমোদনের প্রয়োজনকে অতিক্রম করে মূল অনুমতি সহ স্বেচ্ছাসেবক কোড কার্যকর করতে দেয়। সমস্যাটি বিশেষত এ জাতীয় কাজগুলির যাচাইকরণ এবং সম্পাদনের জন্য দায়ী প্ল্যাটফর্মের মধ্যে এন্ডপয়েন্ট স্নোবার স্ক্রিপ্টে নিজেকে উপস্থাপন করে। দুর্বলতা লেবেল বরাদ্দ করা হয়েছে CVE-2018-14417 ।

কোরসিকিউরিটি এসডিআই কর্পোরেশনের সফ্টনএএস ক্লাউড একটি এন্টারপ্রাইজ-গিয়ার্ড নেটওয়ার্ক-স্টিভুলেটেড ডেটা স্টোরেজ সিস্টেম যা অ্যামাজন ওয়েব সার্ভিসেস এবং মাইক্রোসফ্ট অ্যাজুরির মতো বৃহত্তম বিক্রেতাদের যেমন নেটফ্লিক্স ইনক, স্যামসাং ইলেক্ট্রনিক্স কোয়ের মতো আকর্ষণীয় পোর্টফোলিও বজায় রাখার জন্য মেঘ সমর্থন সরবরাহ করে that । লিমিটেড, টয়োটা মোটর কোং, কোকা-কোলা কোং, এবং বোয়িং কোং স্টোরেজ পরিষেবাটি এনএফএস, সিআইএফএস / এসএমবি, আইএসসিআই, এবং এএফপি ফাইল প্রোটোকল সমর্থন করে এবং সবচেয়ে পুঙ্খানুপুঙ্খ এবং নিয়ন্ত্রিত এন্টারপ্রাইজ স্টোরেজ এবং ডেটা পরিষেবা সরবরাহ করে এই পদ্ধতিতে সমাধান। এই দুর্বলতা, তবে, দূরবর্তী হ্যাকারকে টার্গেট সার্ভারে দূষিত কমান্ড কার্যকর করার অনুমতি দেওয়ার জন্য ব্যবহারকারীর অনুমতিগুলি উন্নত করে। যেহেতু শেষ পয়েন্টে কোনও প্রমাণীকরণ ব্যবস্থা স্থাপন করা হয়নি এবং অপারেশন চালানোর আগে স্নোবার স্ক্রিপ্ট ইনপুটটি স্যানিটাইজ করে না, হ্যাকার কোনও সেশনের যাচাইকরণের প্রয়োজন ছাড়াই অনুসরণ করতে সক্ষম হয়। যেহেতু ওয়েবসভারটি সুডোয়ার ব্যবহারকারীর উপর পরিচালিত হয়, হ্যাকার রুট অনুমতিগুলি পেতে পারে এবং যে কোনও দূষিত কোড কার্যকর করতে সম্পূর্ণ অ্যাক্সেস পেতে পারে। এই দুর্বলতা স্থানীয়ভাবে এবং দূরবর্তীভাবে উভয়ই কাজে লাগানো যায় এবং এটি শোষণের গুরুতর ঝুঁকিতে গ্রেড হয়।

এই দুর্বলতা মে মাসে কোরসিকিউরিটি এসডিআই কর্পোরেশনের নজরে আনা হয়েছিল এবং এর পর থেকে সুরক্ষা সংস্থার ওয়েবসাইটে প্রকাশিত একটি উপদেষ্টায় তাকে সম্বোধন করা হয়েছিল। সফটএনএএস-এর একটি আপডেটও প্রকাশ করা হয়েছে। ব্যবহারকারীদের তাদের সিস্টেমগুলি এই সর্বশেষ সংস্করণে আপগ্রেড করার জন্য অনুরোধ করা হয়েছে: 4.0.3.3 অননুমোদিত দূষিত কোড ইনজেকশন আক্রমণের পরিণতি প্রশমিত করতে।