শেলশক দুর্বলতা Roils লিনাক্স সার্ভারের দোকানগুলি

একটি দীর্ঘস্থায়ী দুর্বলতা খুঁজে পান লিনাক্স ডিস্ট্রিবিউটর, ক্লাউড ভেন্ডার্স এবং শেষ ব্যবহারকারীরা যে কারণে সম্ভাব্য ক্ষতির সম্ভাব্য ক্ষতির পূর্ণ সুযোগ বুঝতে সক্ষম হবেন, সেই হিসাবে GNU Bash সফ্টওয়্যারের নামকরণ করে, শেলশককে লিনাক্স সিস্টেম অ্যাডমিনিস্ট্রেটর সম্প্রদায়ের দৈনিক ক্রিয়াকলাপে বিঘ্নিত করেছে।

"এটি একটি খুব সূক্ষ্ম এবং জটিল দুর্বলতা, "OWen Garrett, Nginx জন্য পণ্য প্রধান, সার্ভার সফ্টওয়্যার প্রদানকারী।

দুর্বলতা" আপনি কি করছেন তা যদি আপনি কি করছেন শোষণ করা trivially সহজ, তাই এটি সত্যিই একটি সম্ভাব্য গুরুতর সমস্যা, "Garret বলেন। "ঊর্ধ্বগতি হয় যে প্রতিকারটি দ্রুত এবং সহজ।"

[আরও পাঠ্য: আপনার উইন্ডোজ পিসি থেকে ম্যালওয়্যার সরাতে কিভাবে]

দুর্বলতা প্রায় সব লিনাক্স পাওয়া যায় মুক্ত-উৎস GNU Bash শেলের একটি ত্রুটি ডিফল্টগুলি, পাশাপাশি অ্যাপল ওএস এক্স অপারেটিং সিস্টেমে।

বৃহস্পতিবার, গবেষকরা শেলের মধ্যে একটি দ্বিতীয়, সম্পর্কিত দুর্বলতা খুঁজে পেয়েছেন।

একটি শেল ব্যবহারকারীদের একটি গ্রাফিকাল পরিবেশ ইন্টারফেস বা-বাশের ক্ষেত্রে- একটি টেক্সট-ভিত্তিক কমান্ড লাইন ইন্টারফেস। দুর্বলতা ব্যবহারকারীকে অপারেটিং সিস্টেমের কমান্ড ইস্যু করার অনুমতি দেয়।

এক অর্থে, দুর্বলতাটি গুরুতর নয়, আইটি নিরাপত্তা ফার্মের প্রধান প্রযুক্তি কর্মকর্তা কুওলিয়ার উলফগ্যাং কান্ডেক উল্লেখ করেছেন। ব্যাশে অ্যাক্সেসের একটি ব্যবহারকারী ইতিমধ্যেই সমস্ত কমান্ড অ্যাক্সেস করতে পারে যা অপারেটিং সিস্টেম রুটিন ব্যবহারকারীদের জন্য অফার করে। তবে এটি বিপজ্জনক হতে পারে যেহেতু বাশ অন্যান্য কর্মসূচী দ্বারা নিজের কর্ম সম্পন্ন করার জন্য ব্যবহার করা হয় এবং এইভাবে কিছু সিস্টেমে একটি গোপনীয়তা প্রদান করে।

উদাহরণস্বরূপ, এটি CGI (কমন গেটওয়ে ইন্টারফেস), কান্দেক লক্ষনীয়। CGI একটি উত্তরাধিকার, কিন্তু এখনও ব্যাপকভাবে ব্যবহার করা হয়, বাণিজ্যিক ইন্টারনেটের প্রথম দিনগুলিতে ব্যবহৃত ওয়েবসাইটগুলি ব্যবহারকারীর ইন্টারঅ্যাক্টিভিটি প্রদানের জন্য ব্যবহৃত। CGI সার্ভারের অপারেটিং সিস্টেমের ব্যবহার নিয়ন্ত্রণ করতে ব্যাশ ব্যবহার করে।

একটি দূষিত ব্যবহারকারী একটি CGI অনুরোধে কমান্ডগুলি ইঙ্গিত করতে পারে যা সার্ভার দ্বারা প্রক্রিয়াভুক্ত হবে, কান্ডেক বলেন। উদাহরণস্বরূপ, একজন আক্রমণকারী শেলশিঙ্ককে অন্য কিছু ঝুঁকিপূর্ণ সুবিধা গ্রহণ করতে পারে যা অন্যথায় নেটওয়ার্কে চালানো যাবে না, সম্ভবত একটি দুর্বলতা যা আক্রমণকারীকে মেশিনের নিয়ন্ত্রণ লাভ করতে দেবে।

অ্যাডমিনিস্ট্রেটরগণকে উত্সাহিত করা হয় যত তাড়াতাড়ি সম্ভব তাদের সিস্টেম প্যাচ। এটা সহজ অংশ। বেশিরভাগ লিনাক্স ডিস্ট্রিবিউশনগুলিতে, সিস্টেম সফটওয়্যারটি আপডেট করা সাধারণত একক কমান্ডের মাধ্যমে করা যায়।

সৌভাগ্যবশত, সকল প্রধান লিনাক্স বিক্রেতারা দ্রুত ডেবিয়ান, উবুন্টু, সাউস এবং রেড হ্যাট সহ প্যাচ জারি করে।

রেড হ্যাট এছাড়াও একটি একক লাইন কমান্ড পোস্ট করে যাতে সহজেই পরীক্ষা করা যায় যে যদি মেশিনটি আক্রমণের জন্য ঝুঁকিপূর্ণ হয়।

এবং খুব শীঘ্রই একটি দ্বিতীয় নয়, এটি এমন ঝুঁকিপূর্ণ দুর্ঘটনার ঝুঁকির কারণেই দ্রুত সফ্টওয়্যার প্রোগ্রামগুলি ছড়িয়ে পড়ে।

একটি হিপপিট সার্ভার চালানো, আইটি ম্যানেজমেন্ট ফার্ম অ্যালেন ভোল্টটিও দেখিয়েছে যে একাধিক দল ইতিমধ্যেই ইন্টারনেটে নজরদারি দিয়ে মেশিনগুলি স্ক্যান করছে।

একটি হিপপিট ইন্টারনেটে স্থাপিত একটি মেশিন যা কতটুকু এবং কী ধরণের দুর্ঘটনামূলক কার্যক্রমটি অনলাইনে স্থান পেয়েছে, সাধারণত আনপাড করা সফ্টওয়্যার ব্যবহার করে যে আক্রমণকারীরা অ্যাক্সেস লাভ করতে ব্যবহার করতে পারে।

ক্লাউড অবকাঠামো পরিষেবা প্রদানকারীরা যেগুলি ভার্চুয়াল ইমেজ হিসাবে স্টক লিনাক্স বিতরণগুলি প্রদান করে, যা আপনি একটি বিতরণের সর্বশেষ স্টক রিলিজ উপর ভিত্তি করে sed, Bash এর unpatched সংস্করণ থাকতে পারে কিছু হয়তো ইতোমধ্যে এই সমস্যাটির সমাধান করতে পারে: অ্যামাজন ওয়েব সার্ভিসেস, যা লিনাক্সের নিজস্ব সংস্করণটি বজায় রাখে, স্বয়ংক্রিয়ভাবে যে কোনও লিনাক্স ভার্চুয়াল মেশিনগুলি তা স্থাপন করার আগে স্বয়ংক্রিয়ভাবে সর্বশেষ প্যাচগুলির সাথে আপডেট করে।

সাধারণ সাধারণ অনুশীলন হিসাবে, তবে যে কেউ ভার্চুয়াল স্থাপন করে প্রথমবারের জন্য মেশিনটি সফ্টওয়্যারটি অবিলম্বে আপডেট করতে হবে, ক্যান্ডেক বলেন।