अब तक की 7 सबसे ख़राब सॉफ़्टवेयर कमजोरियाँ

सभी कंप्यूटर प्रोग्राम कार्य करने के लिए कोड पर निर्भर होते हैं, लेकिन कोडिंग की खामियां सॉफ्टवेयर की कमजोरियों को जन्म दे सकती हैं। इनमें से कुछ के परिणामस्वरूप व्यापक दहशत और गंभीर परिणाम सामने आए हैं, जिससे साइबर सुरक्षा जगत हिल गया है।

तो, कौन सी सॉफ़्टवेयर कमजोरियाँ सबसे बड़ी और सबसे खतरनाक हैं?

1. लॉग4शेल

Log4Shell सॉफ़्टवेयर भेद्यता Apache Log4j के भीतर मौजूद थी, जो दुनिया भर में लाखों लोगों द्वारा उपयोग किया जाने वाला एक लोकप्रिय जावा लॉगिंग फ्रेमवर्क है।

नवंबर 2021 में, अलीबाबा क्लाउड सिक्योरिटी टीम के सदस्य चेन झाओजुन ने एक महत्वपूर्ण कोडिंग दोष की खोज की थी। झाओजुन ने सबसे पहले Minecraft सर्वर में खामी देखी।

दोष, जिसे आधिकारिक तौर पर CVE-2021-44228 नाम दिया गया, को Log4Shell के नाम से जाना जाने लगा।

Log4Shell सुरक्षा दोष एक है शून्य-दिन की भेद्यता, इसलिए साइबर सुरक्षा विशेषज्ञों द्वारा देखे जाने से पहले इसका दुर्भावनापूर्ण अभिनेताओं द्वारा शोषण किया गया था, जिसका अर्थ है कि वे रिमोट कोड निष्पादन चला सकते थे। इसके माध्यम से, हैकर्स Log4j में दुर्भावनापूर्ण कोड इंस्टॉल कर सकते हैं, जिससे डेटा चोरी, जासूसी और मैलवेयर का प्रसार संभव हो सकता है।

हालाँकि Log4Shell भेद्यता की खोज के कुछ ही समय बाद इसके लिए एक पैच जारी किया गया था, लेकिन यह सुरक्षा दोष किसी भी तरह से अतीत की बात नहीं है।

साइबर अपराधी आज भी अपने कारनामों में Log4Shell का उपयोग कर रहे हैं, हालांकि पैच ने खतरे के स्तर को काफी कम कर दिया है। के अनुसार रिज़िलियन, एक चौंकाने वाली बात यह है कि 26 प्रतिशत सार्वजनिक Minecraft सर्वर अभी भी Log4Shell के प्रति असुरक्षित हैं।

यदि किसी कंपनी या व्यक्ति ने अपने सॉफ़्टवेयर को अपडेट नहीं किया है, तो Log4Shell भेद्यता संभवतः अभी भी मौजूद रहेगी, जो हमलावरों के लिए एक खुला द्वार प्रदान करेगी।

2. शाश्वत नीला

इटरनलब्लू (आधिकारिक तौर पर MS17-010 के रूप में जाना जाता है) एक सॉफ्टवेयर भेद्यता है जिसने अप्रैल 2017 में हलचल पैदा करना शुरू कर दिया था। इस भेद्यता के बारे में आश्चर्य की बात यह है कि इसे आंशिक रूप से एनएसए द्वारा विकसित किया गया था, जो एक विशाल अमेरिकी खुफिया एजेंसी है जो सैन्य मामलों में अमेरिकी रक्षा विभाग की मदद करने के लिए जानी जाती है।

एनएसए ने माइक्रोसॉफ्ट के भीतर इटरनलब्लू भेद्यता की खोज की, हालांकि पांच साल बाद तक माइक्रोसॉफ्ट को इस दोष के बारे में पता नहीं चला। एनएसए द्वारा इटरनलब्लू पर एक संभावित साइबर हथियार के रूप में काम किया गया था, और दुनिया को इसके बारे में सूचित करने के लिए एक हैक की आवश्यकता थी।

2017 में, शैडो ब्रोकर्स के नाम से जाने जाने वाले एक हैकिंग समूह ने एनएसए में डिजिटल रूप से घुसपैठ करने के बाद इटरनलब्लू के अस्तित्व को लीक कर दिया। यह पता चला कि दोष ने एनएसए को विंडोज-आधारित उपकरणों की एक श्रृंखला तक गुप्त पिछले दरवाजे से पहुंच प्रदान की, जिसमें विंडोज 7, विंडोज 8 चलाने वाले डिवाइस भी शामिल थे। और अक्सर बदनाम विंडोज विस्टा. दूसरे शब्दों में, एनएसए उपयोगकर्ताओं की जानकारी के बिना लाखों उपकरणों तक पहुंच सकता है।

हालाँकि इटरनलब्लू के लिए एक पैच है, लेकिन माइक्रोसॉफ्ट और जनता में इस खामी के बारे में जागरूकता की कमी के कारण डिवाइस वर्षों तक असुरक्षित रहे।

3. ह्रदय विदारक

हार्टब्लीड सुरक्षा दोष आधिकारिक तौर पर 2014 में खोजा गया था, हालांकि यह ओपनएसएसएल कोड लाइब्रेरी में दो साल पहले से मौजूद था। ओपनएसएसएल लाइब्रेरी के कुछ पुराने संस्करणों में हार्टब्लीड शामिल था, जिसे खोजे जाने पर गंभीर माना गया था।

आधिकारिक तौर पर CVE-2014-0160 के रूप में जाना जाता है, हार्टब्लीड ओपनएसएसएल में अपने स्थान के कारण काफी गंभीर चिंता का विषय था। क्योंकि OpenSSL का उपयोग एक के रूप में किया गया था एसएसएल एन्क्रिप्शन परत वेबसाइट डेटाबेस और अंतिम उपयोगकर्ताओं के बीच, हार्टब्लीड दोष के माध्यम से बहुत सारे संवेदनशील डेटा तक पहुंचा जा सकता है।

लेकिन इस संचार प्रक्रिया के दौरान, एक और कनेक्शन था जो एन्क्रिप्टेड नहीं था, एक प्रकार की नींव परत जो यह सुनिश्चित करती थी कि बातचीत में दोनों कंप्यूटर सक्रिय थे।

हैकर्स ने पहले से सुरक्षित कंप्यूटर से संवेदनशील डेटा को निचोड़ने के लिए संचार की इस अनएन्क्रिप्टेड लाइन का फायदा उठाने का एक तरीका ढूंढ लिया। अनिवार्य रूप से, हमलावर कुछ रसदार जानकारी वापस पाने की उम्मीद में सिस्टम में अनुरोधों की बाढ़ ला देगा।

हार्टब्लीड को उसकी आधिकारिक खोज के उसी महीने में पैच कर दिया गया था, लेकिन ओपनएसएसएल के पुराने संस्करण अभी भी दोष के प्रति संवेदनशील हो सकते हैं।

4. दोहरी मार

डबल किल (या CVE-2018-8174) एक महत्वपूर्ण शून्य-दिन की भेद्यता थी जिसने विंडोज सिस्टम को खतरे में डाल दिया था। 2018 में खोजी गई यह खामी 7 के बाद से सभी विंडोज ऑपरेटिंग सिस्टम में मौजूद होने के कारण साइबर सुरक्षा समाचारों की सुर्खियां बनी।

डबल किल विंडोज़ इंटरनेट एक्सप्लोरर ब्राउज़र में पाया जाता है और वीबी स्क्रिप्ट दोष का फायदा उठाता है। हमले की विधि में एक दुर्भावनापूर्ण इंटरनेट एक्सप्लोरर वेबपेज का उपयोग करना शामिल है जिसमें भेद्यता का दुरुपयोग करने के लिए आवश्यक कोड होता है।

यदि सही ढंग से उपयोग किया जाए तो डबल किल में हमलावरों को मूल, अधिकृत उपयोगकर्ता के समान सिस्टम अनुमतियाँ देने की क्षमता है। ऐसे परिदृश्यों में हमलावर किसी के विंडोज़ डिवाइस पर पूर्ण नियंत्रण भी हासिल कर सकते हैं।

मई 2018 में, विंडोज़ ने डबल किल के लिए एक पैच जारी किया।

5. सीवीई-2022-0609

CVE-2022-0609 2022 में पहचानी गई एक और गंभीर सॉफ़्टवेयर भेद्यता है। क्रोम-आधारित बग एक शून्य-दिन की भेद्यता साबित हुई जिसका हमलावरों द्वारा बेतहाशा फायदा उठाया गया।

यह भेद्यता सभी Chrome उपयोगकर्ताओं को प्रभावित कर सकती है, यही कारण है कि इसकी गंभीरता का स्तर इतना अधिक है। CVE-2022-0609 को इस नाम से जाना जाता है उपयोग के बाद मुक्त बग, जिसका अर्थ है कि इसमें डेटा को बदलने और कोड को दूरस्थ रूप से निष्पादित करने की क्षमता है।

Google को Chrome ब्राउज़र अपडेट में CVE-2022-0609 के लिए एक पैच जारी करने में अधिक समय नहीं लगा।

6. ब्लूकीप

मई 2019 में, साइबर सुरक्षा विशेषज्ञ केविन ब्यूमोंट द्वारा ब्लूकीप नामक एक महत्वपूर्ण सॉफ़्टवेयर दोष की खोज की गई थी। दोष माइक्रोसॉफ्ट के रिमोट डेस्कटॉप प्रोटोकॉल में पाया जा सकता है, जिसका उपयोग सिस्टम समस्याओं का दूर से निदान करने के लिए किया जाता है, साथ ही उपयोगकर्ताओं को किसी अन्य डिवाइस से अपने डेस्कटॉप तक रिमोट एक्सेस प्रदान करने के लिए किया जाता है।

आधिकारिक तौर पर CVE-2019-0708 के रूप में जाना जाता है, ब्लूकीप एक दूरस्थ निष्पादन भेद्यता है, जिसका अर्थ है कि इसका उपयोग लक्ष्य डिवाइस पर दूरस्थ रूप से कोड निष्पादित करने के लिए किया जा सकता है। माइक्रोसॉफ्ट द्वारा विकसित अवधारणाओं के प्रमाण से पता चला है कि लक्षित कंप्यूटरों से एक मिनट के अंदर छेड़छाड़ की जा सकती है और हमलावरों द्वारा उन पर कब्ज़ा किया जा सकता है, जो दोष की गंभीरता को उजागर करता है।

एक बार डिवाइस एक्सेस हो जाने के बाद, हमलावर उपयोगकर्ता के डेस्कटॉप पर दूरस्थ रूप से कोड निष्पादित कर सकता है।

ब्लूकीप का एक फायदा यह है कि यह केवल विंडोज के पुराने संस्करणों को प्रभावित करता है, जिसमें शामिल हैं:

• विंडोज विस्टा।
• विन्डोज़ एक्सपी।
• विंडोज़ सर्वर 2003.
• विंडोज़ सर्वर 2008.
• विंडोज़ सर्वर 2008 R2.
• विंडोज 7।

यदि आपका उपकरण ऊपर सूचीबद्ध के अलावा किसी भी विंडोज़ ओएस पर चल रहा है, तो संभवतः आपको ब्लूकीप के बारे में चिंता करने की ज़रूरत नहीं है।

7. ज़ीरोलोगन

ZeroLogon, या CVE-2020-1472 जैसा कि इसे आधिकारिक तौर पर जाना जाता है, एक Microsoft-आधारित सॉफ़्टवेयर सुरक्षा दोष है जिसे अगस्त 2020 में खोजा गया था। कॉमन वल्नरेबिलिटी स्कोरिंग सिस्टम (सीवीएसएस) ने गंभीरता पैमाने पर इस दोष को 10 में से 10 अंक दिए, जिससे यह अत्यधिक खतरनाक हो गया।

यह सक्रिय निर्देशिका संसाधन का शोषण कर सकता है जो आमतौर पर विंडोज़ एंटरप्राइज़ सर्वर पर मौजूद होता है। आधिकारिक तौर पर, इसे एक्टिव डायरेक्ट्री नेटलॉगऑन रिमोट प्रोटोकॉल के रूप में जाना जाता है।

ज़ीरोलॉगन उपयोगकर्ताओं को जोखिम में डालता है क्योंकि इसमें पासवर्ड सहित संवेदनशील खाता विवरण बदलने की क्षमता है। दोष प्रमाणीकरण पद्धति का शोषण करता है ताकि पहचान की पुष्टि किए बिना खातों तक पहुंचा जा सके।

अपनी खोज के उसी महीने में, Microsoft ने ZeroLogon के लिए दो पैच जारी किए।

सॉफ़्टवेयर भेद्यताएँ चिंताजनक रूप से सामान्य हैं

हम सॉफ्टवेयर पर इतना अधिक निर्भर हैं कि बग और खामियां पैदा होना स्वाभाविक है। लेकिन इनमें से कुछ कोडिंग त्रुटियां अत्यधिक शोषक सुरक्षा कमजोरियों को जन्म दे सकती हैं, जिससे प्रदाता और उपयोगकर्ता दोनों जोखिम में पड़ सकते हैं।