सार:
लिनक्स कर्नेल विकास समुदाय में हाल ही में एक सुरक्षा घटना घटी जिसके कारण व्यापक चिंता हुई। एकाधिक अनपैच्ड लिनक्स कर्नेल भेद्यता रिपोर्ट जो सुरक्षा शोधकर्ताओं को निजी चैनलों के माध्यम से प्रस्तुत करनी चाहिए थी, उन्हें परिचालन त्रुटियों के कारण सार्वजनिक लिनक्स कर्नेल मेलिंग सूची (एलकेएमएल) में भेज दिया गया था, जिसके परिणामस्वरूप प्रासंगिक भेद्यता जानकारी जल्दी सामने आ गई थी।
जब घटना घटी, लिनक्स 7.3 का स्थिर संस्करण अभी जारी किया गया था, और लिनक्स 7.4 संस्करण अभी भी फीचर विकास चरण में था। इस लीक का पिछली PHP भेद्यता घटना से कोई लेना-देना नहीं है, जिसके कारण बड़ी संख्या में वेबसाइट प्रशासकों को तत्काल अपडेट करना पड़ा, लेकिन इससे ओपन सोर्स सुरक्षा समुदाय को भी काफी झटका लगा।
रिपोर्टों के अनुसार, ट्रेंड माइक्रो के जीरो डे इनिशिएटिव (ZDI) ने लिनक्स कर्नेल सुरक्षा खामियों से संबंधित कई रिपोर्ट प्रस्तुत कीं। जानकारी को सुरक्षा मुद्दों के लिए समर्पित एक निजी मेलिंग सूची में भेजा जाना था ताकि डेवलपर्स सार्वजनिक होने से पहले भेद्यता को ठीक कर सकें। हालाँकि, संबंधित ईमेल गलती से सार्वजनिक लिनक्स कर्नेल मेलिंग सूची में भेज दिया गया था, जिससे सभी ग्राहकों को भेद्यता विवरण देखने की अनुमति मिल गई।
घटना उजागर होने के बाद, लिनक्स कर्नेल स्थिर संस्करण रखरखाव के प्रमुख ग्रेग क्रोहा-हार्टमैन ने सार्वजनिक रूप से असंतोष व्यक्त किया और सुरक्षा शोधकर्ताओं से भेद्यता प्रस्तुत करने की प्रक्रिया में सुधार करने और सार्वजनिक चैनलों पर सीधे अनिर्धारित सुरक्षा मुद्दों को जारी करने से बचने का आग्रह किया। मेलिंग सूची में अन्य डेवलपर्स और समुदाय के सदस्यों ने भी चूक के बारे में आलोचना और चिंता व्यक्त की।
इस अप्रत्याशित खुलासे में कम से कम छह कमजोरियां शामिल हैं जिन्हें अभी तक ठीक नहीं किया गया है। उनमें से दो उच्च जोखिम वाले रिमोट कोड निष्पादन कमजोरियां हैं, और दोनों को सीवीएसएस 9.0 स्कोर प्राप्त हुआ। एसएमबी डायरेक्ट कार्यान्वयन में एक भेद्यता मौजूद है, जो एक पूर्णांक अंडरफ़्लो समस्या के कारण होती है, जो एक हमलावर को दूरस्थ कोड निष्पादन प्राप्त करने की अनुमति दे सकती है। एक अन्य भेद्यता KSMBD घटक में दौड़ की स्थिति से संबंधित है, जिससे दुर्भावनापूर्ण कोड का दूरस्थ निष्पादन भी हो सकता है।
इसके अलावा, कई कमजोरियां हैं जो विशेषाधिकार वृद्धि या सूचना प्रकटीकरण का कारण बन सकती हैं। उदाहरण के लिए, नेटवर्क सबसिस्टम में skb_zerocopy कार्यान्वयन में सुरक्षा खामियां हैं और इसका उपयोग स्थानीय विशेषाधिकार वृद्धि के लिए किया जा सकता है; VMWGFX VMware ग्राफ़िक्स ड्राइवर में आउट-ऑफ-बाउंड लिखने की समस्या है, जिससे स्थानीय विशेषाधिकार वृद्धि भी हो सकती है; एनवीएमईटी-संबंधित कोड में अप्रारंभीकृत संसाधनों के साथ एक समस्या है, जिसके कारण संवेदनशील जानकारी लीक हो सकती है।
इसके अलावा, एक भेद्यता जो पहले मेलिंग सूची में भेजी गई है, उसमें टीसीपी क्वेरी प्रोसेसिंग के दौरान स्टैक बफर ओवरफ्लो समस्या शामिल है और स्थानीय विशेषाधिकार वृद्धि प्राप्त करने के लिए इसका फायदा भी उठाया जा सकता है।
कुछ कमज़ोरियाँ वास्तव में ठीक करने की प्रक्रिया में हैं। उनमें से, एसएमबी डायरेक्ट-संबंधित पैच को मूल रूप से लिनक्स 7.5 विकास चक्र के दौरान विलय करने की योजना बनाई गई थी। इस शुरुआती प्रदर्शन के बाद, डेवलपर्स मरम्मत और रिलीज़ की प्रगति में तेजी ला सकते हैं। एक अन्य नेटवर्क सबसिस्टम भेद्यता को पहले अन्य चैनलों के माध्यम से कर्नेल सुरक्षा टीम को सूचित किया गया है, और संबंधित पैच निकट भविष्य में जारी होने की उम्मीद है।
उद्योग के अंदरूनी सूत्रों का कहना है कि भेद्यता विवरण का पहले से खुलासा करने से अक्सर जोखिम बढ़ जाता है। हाल के वर्षों में, हमलावरों ने सॉफ्टवेयर कमजोरियों को खोजने और उनका फायदा उठाने के लिए स्वचालित उपकरणों, रिवर्स इंजीनियरिंग तकनीकों और कृत्रिम बुद्धिमत्ता-सहायता प्राप्त विश्लेषण का तेजी से उपयोग किया है। किसी पैच को व्यापक रूप से तैनात करने से पहले, सार्वजनिक रूप से भेद्यता जानकारी को उजागर करने से हमलावरों के लिए शोषण कोड विकसित करने की विंडो छोटी हो सकती है।
वर्तमान में, लिनक्स कर्नेल विकास टीम संबंधित भेद्यता सुधारों को आगे बढ़ा रही है, और इस ईमेल भेजने की त्रुटि का वास्तविक प्रभाव अभी भी देखा जाना बाकी है। यह घटना एक बार फिर सुरक्षा भेद्यता प्रकटीकरण प्रक्रिया के महत्व और पैच जारी होने से पहले संवेदनशील तकनीकी जानकारी को उचित रूप से संरक्षित करने की आवश्यकता पर प्रकाश डालती है।
टिप्पणियाँ