முக்கியமான இரண்டு PHP குறைபாடுகளைச் சரிசெய்யும் நிர்வாகிகள், அவை பொதுவில் வெளியிடப்படுவதற்கு முன்பே தாக்குதல் முயற்சிகள் தொடங்கியிருக்கலாம் என்ற கவலையை எதிர்கொள்கின்றனர்.
திட்டமிட்டு பலவீனமாக வைக்கப்பட்ட இணைய அமைப்பின் பதிவுகளை ஆய்வு செய்தபோது, அக்டோபர் 17-ஆம் தேதியிட்ட தாக்குதல் முயற்சியை AWS கண்டறிந்தது. PHP2Shell என அழைக்கப்படும் குறைபாடுகளுக்கான பொது பேட்ச்கள் அக்டோபர் 21-ஆம் தேதி வெளியிடப்பட்டன.
வெளியீட்டுக்கு முந்தைய செயல்பாடு
ஹனிபாட்கள் பலவீனமாகத் தோன்றும் வகையில் அமைக்கப்பட்ட அமைப்புகள். AWS படி, முயற்சி வணிக அனானிமைசேஷன் நெட்வொர்க்குடன் தொடர்புடைய IP முகவரியிலிருந்து வந்தது.
மறைக்கப்பட்ட முகவரி அச்சுறுத்தல் செயல்பாட்டைக் குறிக்கிறது; ஆனால் குறைபாடுகள் வெளியாவதற்கு முன் தகவல் எவ்வாறு கிடைத்தது என்பதை AWS தீர்மானிக்கவில்லை.
பேட்ச்கள் வெளியானதும் நிறுவனங்கள் PHP சார்ந்த தளங்களை அடையாளம் கண்டு, வெளிப்பாட்டை மதிப்பிட்டு, திருத்தங்களைப் பயன்படுத்த வேண்டியிருந்தது.
சுரண்டல் இப்போது விரிவடைந்துள்ளது
திருத்தங்கள் கிடைத்ததும் பொது proof-of-concept சுரண்டல்கள் தோன்றின. வெவ்வேறு அனானிமைசேஷன் சேவைகளிலிருந்து ஹனிபாட்களை குறிவைத்த பல முயற்சிகளையும் AWS கண்டது.
இது ஒன்றுக்கும் மேற்பட்ட தாக்குதலாளர்களைக் குறிக்கலாம்; ஆய்வு தொடர்கிறது. PHP2Shell காடுகளில் பரவலாக சுரண்டப்படுகிறது என்று AWS மதிப்பிடுகிறது.
முக்கிய குறைபாடு வெளியிடப்படும் காலம் ஏன் ஆபத்தானது என்பதை இந்த நிகழ்வு காட்டுகிறது. இந்த வழக்கில் பாதுகாப்பு நடவடிக்கைக்கான கால அவகாசம் குறைந்திருக்கலாம்.
இந்த கண்டுபிடிப்பு நிரூபிப்பதும் நிரூபிக்காததும்
அக்டோபர் 17 செயல்பாட்டின் பின்னால் யார் இருந்தனர், சுரண்டல் வெற்றியடைந்ததா, தகவல் எவ்வாறு கிடைத்தது என்பவை தெரியவில்லை. ஆனால் பொது வெளியீட்டுக்கு முன் ஹனிபாட் குறிவைக்கப்பட்ட முயற்சி பதிவு செய்யப்பட்டது.
பாதிக்கப்பட்ட PHP அமைப்புகளை அடையாளம் கண்டு, பேட்ச்களைப் பயன்படுத்தி, சுரண்டல் அறிகுறிகளை விசாரிக்க வேண்டும்.
PHP இணைய பயன்பாடுகளில் பரவலாகப் பயன்படுத்தப்படுவதால், சொத்து பட்டியல் மற்றும் விரைவான சோதனை முக்கியம்.
பேட்ச் அவசரத்தின் குறுகிய பாடம்
பொது வெளியீடு ஆபத்தின் தொடக்கம் அல்ல; ஆபத்து அதிகமான பாதுகாவலர்களுக்கும் தாக்குதலாளர்களுக்கும் தெரியும் தருணம். PHP2Shell சம்பவத்தில் சுரண்டல் அதற்கு முன்பே தொடங்கியிருக்கலாம்.
AWS ஆதாரம் முழு சம்பவத்தையும் விளக்கவில்லை; ஆனால் பாதிக்கப்பட்ட நிறுவனங்கள் விரைவாகச் செயல்பட வேண்டிய வலுவான காரணமாகும். பேட்ச் செய்வதும் விசாரணையும் உடனடி முன்னுரிமைகள்.
இந்த கட்டுரை Wired செய்திகளை அடிப்படையாகக் கொண்டது. அசல் கட்டுரையைப் படிக்கவும்.
Originally published on wired.com