सार:
एंथ्रोपिक द्वारा हाल ही में जारी एक सुरक्षा अध्ययन से पता चला है कि इसके आंतरिक अप्रकाशित क्लाउड मॉडल ने व्यवस्थित परीक्षण के दौरान एक गंभीर भेद्यता की खोज की है जो लिनक्स कर्नेल में 11 वर्षों से निष्क्रिय है। भेद्यता को CVE-2026-98432 क्रमांकित किया गया है और इसका CVSS गंभीरता स्कोर 9.8 है, जो इसे दूरस्थ कोड निष्पादन स्तर पर सबसे खतरनाक भेद्यता बनाता है।
यह भेद्यता IPv4 TCP हैंडशेक में उपयोग-आफ्टर-फ़्री (UAF) दोष के कारण होती है। कोड अक्टूबर 2015 में प्रस्तुत किया गया था और लिनक्स 4.4 कर्नेल के साथ पेश किया गया था। टीसीपी कनेक्शन रीट्रांसमिशन को संसाधित करते समय, एक सीपीयू उस मेमोरी को पढ़ सकता है जिसे दूसरे सीपीयू द्वारा जारी किया गया है।
हमलावर को पासवर्ड या किसी उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं होती है, और इसे केवल नेटवर्क ट्रैफ़िक के माध्यम से ट्रिगर किया जा सकता है, जिससे दूरस्थ रूट अनुमति निष्पादन प्राप्त होता है। कर्नेल सीवीई टीम ने इसे एक गंभीर भेद्यता के रूप में चित्रित किया है जो नेटवर्क तक पहुंच योग्य है, किसी विशेषाधिकार की आवश्यकता नहीं है, और इंटरैक्शन की आवश्यकता नहीं है।
इससे भी अधिक चिंताजनक बात इसमें एआई की भूमिका है। एंथ्रोपिक के क्लाउड मॉडल ने न केवल भेद्यता की खोज की, बल्कि इसने एक उपयोगी दो-चरणीय शोषण भी उत्पन्न किया। कर्नेल एड्रेस रैंडमाइजेशन प्रोटेक्शन को क्रैक करने में पहले चरण में लगभग 48 मिनट लगते हैं; दूसरे चरण में रूट विशेषाधिकारों के साथ मनमाने आदेशों को निष्पादित करने में केवल 5 मिनट लगते हैं। संपूर्ण हमले की प्रक्रिया में लगभग 53 मिनट लगते हैं, और शोषण करने में विफलता के कारण लक्ष्य ढह नहीं जाएगा, और हमलावर बार-बार प्रयास कर सकता है।
अपस्ट्रीम मरम्मत 15 अक्टूबर को पूरी हो गई थी, और मरम्मत किए गए संस्करण 5.10.272, 6.1.190, 6.12.113, 6.18.56, 7.2.10 और 7.3-आरसी7 को कवर करते हैं। डेबियन, रेड हैट, अमेज़ॅन लिनक्स और अन्य वितरणों ने क्रमिक रूप से पैच जारी किए हैं।
लेकिन उबंटू के साथ स्थिति पूरी तरह से अलग है: 1 नवंबर तक, उबंटू 22.04 एलटीएस, 24.04 एलटीएस, 26.04 एलटीएस और 26.10 अभी भी प्रभावित के रूप में चिह्नित हैं, और सुधार अभी भी विकास में हैं।
बाहरी सेवाएँ चलाने वाले उबंटू प्रशासकों के लिए, जोखिम विंडो अभी भी खुली है। गो 1.24 और उच्चतर संस्करण लिनक्स पर डिफ़ॉल्ट रूप से मल्टीपाथ टीसीपी को सक्षम करते हैं, जो भेद्यता के जोखिम को बढ़ा सकता है। हालाँकि, एमपीटीसीपी को अक्षम करने से केवल जोखिम कम हो सकता है लेकिन कर्नेल-स्तर की खामियों को समाप्त नहीं किया जा सकता है।
एंथ्रोपिक ने कहा कि शोषण कोड सार्वजनिक रूप से जारी नहीं किया गया है, लेकिन इस घटना ने स्पष्ट रूप से एक प्रवृत्ति का प्रदर्शन किया है: एआई अब केवल कोड लिखने का एक उपकरण नहीं है, यह सिस्टम सुरक्षा को खत्म करने के लिए एक हथियार भी बन सकता है।
टिप्पणियाँ