दुनिया का व्यापक रूप से उपयोग किया जाने वाला वेब सर्वर सॉफ़्टवेयर Apache, समय-समय पर कुख्यात कमजोरियों का शिकार रहा है। ये कमजोरियां सर्वर को विभिन्न प्रकार के दुर्भावनापूर्ण हमलों और अन्य इंटरनेट धोखाधड़ी के प्रति संवेदनशील बनाती हैं जिससे सूचना चोरी और नुकसान होता है। जबकि Apache नियमित रूप से अपने कमजोर संस्करणों के लिए अपडेट जारी करता है, निम्नलिखित Apache कमजोरियों ने उपयोगकर्ताओं के लिए उनके संभावित खतरे के लिए बदनामी प्राप्त की है।
1. OpenMeetings SQL इंजेक्शन भेद्यता
Apache OpenMeetings संस्करण 1.0.0 को SQL इंजेक्शन भेद्यता (CVE-2017-7681) के प्रति संवेदनशील पाया गया, जिससे यह सूचना प्रकटीकरण की संभावना रखता है। भेद्यता का फायदा उठाने के लिए, हमलावर को सिस्टम में लॉग इन करने की आवश्यकता होगी जैसे कमांड लाइन पर या डेस्कटॉप सत्र या वेब इंटरफेस के माध्यम से। कुछ सिस्टम फ़ाइलों या जानकारी का संशोधन संभव है, लेकिन हमलावर का इस पर नियंत्रण नहीं होता कि क्या संशोधित किया जा सकता है, या हमलावर जो प्रभाव डाल सकता है उसका दायरा सीमित है।
OpenMeetings सबसे लोकप्रिय वर्चुअल मीटिंग सॉफ़्टवेयर में से एक है, जिसका व्यापक रूप से ऑनलाइन प्रस्तुतियों, ऑनलाइन प्रशिक्षण, वेब कॉन्फ्रेंसिंग, और उपयोगकर्ता डेस्कटॉप शेयरिंग के लिए उपयोग किया जाता है। इसके व्यापक उपयोग से मौजूदा क्वेरी की संरचना और बैक-एंड में एप्लिकेशन द्वारा की जा रही अन्य क्वेरी की संरचना के लीक होने का जोखिम होता है।
तत्काल उपाय Apache OpenMeetings 3.3.0 में अपग्रेड करना है
यदि आप अपनी वेबसाइट (कस्टम कोडेड या CMS) के लिए सुरक्षा समाधान ढूंढ रहे हैं, तो Astra Firewall आपकी वेबसाइट को 24×7 XSS, LFI, RFI, SQL इंजेक्शन, खराब बॉट्स और 80+ अन्य खतरों से बचाएगा। अभी Astra डेमो लें।
2. Apache Ranger सुरक्षा बाईपास भेद्यता
Apache Ranger को सुरक्षा-बाईपास भेद्यता (CVE-2017-7676) के प्रति संवेदनशील बना दिया गया है। नतीजतन, हमलावर इस मुद्दे का फायदा उठाकर कुछ सुरक्षा प्रतिबंधों को बायपास कर सकते हैं और अनधिकृत कार्रवाई कर सकते हैं, जो आगे के हमलों में सहायता कर सकते हैं। यह Policy resource matcher को '*' वाइल्डकार्ड वर्ण के बाद के वर्णों को अनदेखा करने की अनुमति देता है, जिसके परिणामस्वरूप प्रभावित नीतियों को उन संसाधनों पर लागू किया जाता है जहां उन्हें लागू नहीं किया जाना चाहिए।
Apache Ranger एक व्यापक रूप से उपयोग किया जाने वाला फ्रेमवर्क है जिसका उपयोग Hadoop प्लेटफॉर्म पर व्यापक डेटा सुरक्षा को सक्षम, निगरानी और प्रबंधन करने के लिए किया जाता है। हालांकि कम गंभीर माना जाता है, प्रभावी ढंग से। सुरक्षा बाईपास भेद्यता Ranger संस्करण 0.5.1 से 0.7 को प्रभावित करती है। तत्काल उपाय Apache Ranger संस्करण 0.7.1 में अपग्रेड करना है जो इस मुद्दे को ठीक करता है।
3. Apache HTTP सर्वर प्रमाणीकरण बाईपास भेद्यता
Apache HTTP Server CVE-2017-3167 प्रमाणीकरण बाईपास भेद्यता एक हमलावर को प्रमाणीकरण तंत्र को बायपास करने और अनधिकृत कार्रवाई करने की अनुमति देती है, जिससे आगे के हमले होते हैं। इस भेद्यता से प्रभावित संस्करण Apache HTTP Server 2.2.0 से 2.2.32 और Apache HTTP Server 2.4.0 से 2.4.25 हैं
भेद्यता Apache HTTP सर्वर के ap_get_basic_auth_pw() फ़ंक्शन के अनुचित उपयोग से उपजी है, जिसे प्रभावित सॉफ़्टवेयर के प्रमाणीकरण चरण के बाहर थर्ड-पार्टी मॉड्यूल द्वारा उपयोग किया जाता है। इसके बजाय, थर्ड-पार्टी मॉड्यूल को ap_get_basic_auth_components() फ़ंक्शन का उपयोग करना चाहिए।
सुरक्षा उपायों में फिक्स्ड संस्करण में अपडेट करना, केवल विश्वसनीय उपयोगकर्ताओं के लिए नेटवर्क एक्सेस, और IP-आधारित एक्सेस कंट्रोल सूचियों (ACLs) को नियोजित करना शामिल है ताकि केवल विश्वसनीय सिस्टम प्रभावित सिस्टम तक पहुंच सकें।
इसके अलावा, सबसे गंभीर Apache कमजोरियों पर हमारे विस्तृत ब्लॉग को देखें
ऑनलाइन धोखेबाजों से अपनी वेबसाइट को सुरक्षित करने के बारे में चिंतित? Astra के वेब सुरक्षा सूट से संपर्क करें XSS, LFI, RFI, SQL इंजेक्शन, खराब बॉट्स और 80+ अन्य खतरों से चौबीसों घंटे सुरक्षा सुनिश्चित करने के लिए ।
