OpenSSH নির্দিষ্ট লিনাক্স সিস্টেমগুলিকে প্রভাবিত করে একটি সমালোচনামূলক প্রমাণীকরণ বাইপাস মোকাবেলা করার জন্য একটি জরুরী নিরাপত্তা আপডেট প্রকাশ করেছে, প্রশাসকদের সতর্ক করে যে দুর্বল কনফিগারেশনগুলি দূরবর্তী আক্রমণকারীদের বৈধ শংসাপত্র ছাড়াই অ্যাকাউন্টগুলি অ্যাক্সেস করার অনুমতি দিতে পারে।
5 নভেম্বর প্রকাশিত, পোর্টেবল OpenSSH 10.6p2 আলপাইন লিনাক্স দ্বারা ব্যবহৃত সি লাইব্রেরি, SSH সার্ভার এবং musl-এর মধ্যে মিথস্ক্রিয়া জড়িত একটি দুর্বলতার জন্য একটি সমাধান উপস্থাপন করে। এক্সপোজার প্লাগেবল প্রমাণীকরণ মডিউল, বা PAM ছাড়া পাসওয়ার্ড প্রমাণীকরণ পরিচালনাকারী সিস্টেমগুলির সাথে সম্পর্কিত। OpenSSH আবিষ্কারের কৃতিত্ব ওয়েকফিল্ডের Özgün Kültekin কে।
এই প্রকাশটি এমন সংস্থাগুলির জন্য একটি জরুরী অপারেশনাল সমস্যা তৈরি করে যেগুলি অনুমান করে যে SSH কীগুলির সাথে একচেটিয়াভাবে ব্যবহৃত একটি অ্যাকাউন্ট একটি পাসওয়ার্ড গ্রহণ করতে পারে না৷ প্রভাবিত কনফিগারেশনের অধীনে, সেই অনুমান ব্যর্থ হতে পারে: পাসওয়ার্ড-বৈধকরণ প্রক্রিয়া ভুলভাবে একটি ত্রুটি প্রতিক্রিয়াকে সফল ম্যাচ হিসাবে বিবেচনা করতে পারে।
একটি নির্দিষ্ট এক্সপোজার প্রোফাইলের সাথে একটি জটিল সমস্যা
একটি জরুরী প্রকাশের ঘোষণায়, OpenSSH বিকাশকারী ড্যামিয়েন মিলার প্রভাবিত musl-ভিত্তিক Linux সিস্টেমের অপারেটরদের পাসওয়ার্ড প্রমাণীকরণ অক্ষম করতে বা SSH অবিলম্বে নিষ্ক্রিয় করার জন্য অনুরোধ করেছেন।
মিলার স্পষ্টভাবে সেই সিস্টেমগুলিকে অপ্রভাবিত পরিবেশ থেকে আলাদা করেছেন। নন-লিনাক্স প্ল্যাটফর্মগুলি, লিনাক্স সিস্টেমগুলি গ্লিবসি ব্যবহার করে এবং লিনাক্স সিস্টেমগুলি PAM এর মাধ্যমে পাসওয়ার্ড প্রমাণীকরণ করে উল্লেখিত সুযোগের বাইরে৷ বিকাশকারীরা OpenSSH-এর বাইরে থাকা অন্তর্নিহিত কারণটিকে বিবেচনা করে, যখন স্বীকার করে যে SSH সার্ভার একটি শোষণযোগ্য পথ এবং এটিকে ব্লক করার জন্য একটি ব্যবহারিক জায়গা প্রদান করে।
এই পার্থক্যটি দুর্বলতা ব্যবস্থাপনার জন্য গুরুত্বপূর্ণ। "OpenSSH ইনস্টল করা" দেখানো একটি ইনভেন্টরি এক্সপোজার স্থাপনের জন্য অপর্যাপ্ত। নিরাপত্তা দলগুলিকে সি লাইব্রেরি, সার্ভার প্যাকেজ, প্রমাণীকরণ কনফিগারেশন এবং প্রাসঙ্গিক অ্যাকাউন্টের অবস্থা সনাক্ত করতে হবে।
সমানভাবে, একটি সফ্টওয়্যার ইনভেন্টরিতে আল্পাইনের উপস্থিতি একটি স্বয়ংক্রিয় সিদ্ধান্তের পরিবর্তে তদন্তকে ট্রিগার করবে যে প্রতিটি সংশ্লিষ্ট কাজের চাপ দুর্বল।
কোন আলপাইন সিস্টেম প্রভাবিত হয়?
আলপাইন লিনাক্স নিরাপত্তা উপদেষ্টা চারটি শর্ত চিহ্নিত করে:
OpenSSH PAM ছাড়া পাসওয়ার্ড চেক পরিচালনা করে।
পাসওয়ার্ড প্রমাণীকরণ সক্ষম করা হয়েছে৷
একটি টার্গেট অ্যাকাউন্টের পাসওয়ার্ড ফিল্ডে * থাকে।
অন্য একটি স্থানীয় অ্যাকাউন্টে $5$ বা $6$ দিয়ে শুরু হওয়া পাসওয়ার্ড হ্যাশ রয়েছে।
আল্পাইনের স্ট্যান্ডার্ড openssh-server প্যাকেজ PAM ব্যবহার করে না। Openssh-server-pam ইনস্টল করলেও এক্সপোজার ছেড়ে যায় যদি UsePAM no কনফিগার করা থাকে।
চলমান SSH সার্ভার ছাড়া ধারকগুলি এই আক্রমণ পথের বাইরে রয়েছে৷ আলপাইন পাসওয়ার্ড প্রমাণীকরণ অক্ষম এবং অ্যাকাউন্ট লক করা সহ কনফিগারেশনগুলি বাদ দেয়!
ডিফেন্ডারদের জন্য, মূল প্রশ্ন হল পরিষেবাটি আসলে কী অনুমতি দেয়। অভ্যন্তরীণভাবে "কেবল-কী" হিসাবে বর্ণিত একটি অ্যাকাউন্ট কেবল একটি অ্যাকাউন্ট হতে পারে যার ব্যবহারকারীরা সাধারণত কীগুলির সাথে প্রমাণীকরণ করে। সেই অপারেশনাল কনভেনশনের মানে এই নয় যে সার্ভারটি পাসওয়ার্ড প্রমাণীকরণ প্রত্যাখ্যান করার জন্য কনফিগার করা হয়েছে।
কিভাবে একটি ত্রুটি একটি সফল লগইন হয়ে ওঠে
গবেষকের প্রযুক্তিগত অ্যাকাউন্ট OpenSSH-এর পাসওয়ার্ড হ্যান্ডলিং এবং musl-এর crypt() ফাংশনের মধ্যে সীমানায় একটি ব্যর্থতা বর্ণনা করে।
PAM ছাড়া, সার্ভার একটি পাসওয়ার্ড হ্যাশ গণনা করে এবং অ্যাকাউন্টের সংরক্ষিত মানের সাথে তুলনা করে। যেখানে সঞ্চিত মান ব্যবহারযোগ্য লবণ প্রদানের জন্য খুব কম, সেখানে OpenSSH অন্য অ্যাকাউন্ট থেকে লবণ ধার করতে পারে।
প্রাসঙ্গিক হ্যাশিং অপারেশনের জন্য, musl তার 256-বাইটের সীমা অতিক্রম করা পাসওয়ার্ড প্রত্যাখ্যান করে এবং একটি ত্রুটি নির্দেশক হিসাবে * ফেরত দেয়। যদি লক্ষ্য অ্যাকাউন্টের সঞ্চিত ক্ষেত্রে *ও থাকে, তবে তুলনা সফল হতে পারে।
গবেষক 2012 এবং OpenSSH-এর 2016-এর ব্যবহারকারীর নাম-গণনা দুর্বলতা CVE-2016-6210-এর প্রতিক্রিয়ার মুসল পরিবর্তনের সাথে মিথস্ক্রিয়া সনাক্ত করেন। তিনি এআই এজেন্টদের সহায়তায় বিভিন্ন বিল্ড এবং প্রমাণীকরণ সংমিশ্রণ জুড়ে প্রায় 17,600টি পরীক্ষার লগইনের মাধ্যমে এটি আবিষ্কার করার রিপোর্ট করেছেন।
নিরাপত্তা ব্যর্থতা তাই একটি মান নির্ধারিত অর্থ সম্পর্কে. একটি অব্যবহারযোগ্য পাসওয়ার্ড উপস্থাপন করার উদ্দেশ্যে একটি মার্কার একটি লাইব্রেরির ব্যর্থতার প্রতিক্রিয়া থেকে আলাদা করা যায় না।
এটিও ব্যাখ্যা করে কেন নির্ভরতা-স্তরের পরীক্ষা গুরুত্বপূর্ণ। একটি উপাদান অন্য প্রয়োগের সাথে মিলিত হলে ভিন্নভাবে আচরণ করতে পারে, এমনকি যখন অ্যাপ্লিকেশনের উচ্চ-স্তরের প্রমাণীকরণ কর্মপ্রবাহ অপরিবর্তিত দেখা যায়।
ক্লাউড চিত্রগুলি অ্যাকাউন্ট অ্যাক্সেসকে রুট অ্যাক্সেসে পরিণত করতে পারে
আল্পাইন 3.18.11 থেকে 3.24.3 সংস্করণ থেকে তার অফিসিয়াল ক্ষুদ্র-ক্লাউড ইমেজগুলি জড়িত একটি বিশেষ করে গুরুতর পরিস্থিতি চিহ্নিত করে। তাদের আলপাইন অ্যাকাউন্টে একটি * পাসওয়ার্ড ক্ষেত্র এবং পাসওয়ার্ডবিহীন দোআ বিশেষাধিকার রয়েছে।
এই ছবিগুলি প্রাথমিকভাবে নিরাপদ, কিন্তু একটি যোগ্য পাসওয়ার্ড হ্যাশ প্রবর্তন তাদের শোষণযোগ্য করে তুলতে পারে। একজন আক্রমণকারী তখন আল্পাইনের মধ্য দিয়ে প্রবেশ করতে পারে এবং মূলে উন্নীত হতে পারে।
ডিফল্ট PermitRootLogin নিষেধ-পাসওয়ার্ড সেটিং সরাসরি রুট পাসওয়ার্ড অ্যাক্সেস রক্ষা করে, কিন্তু এই পরোক্ষ রুটটিকে আটকায় না।
কর্মক্ষম পাঠ হল যে প্রভিশনিং পরিবর্তনগুলি ইমেজ সংস্করণগুলির পাশাপাশি যাচাইয়ের যোগ্য৷ প্রশাসকরা যখন অ্যাকাউন্ট যোগ করে, কনসোল অ্যাক্সেস সক্ষম করে বা প্রমাণীকরণ সেটিংস সামঞ্জস্য করে তখন স্থাপনার পরে একটি মেশিনের এক্সপোজার পরিবর্তন হতে পারে।
পুনঃব্যবহারযোগ্য ক্লাউড টেমপ্লেট রক্ষণাবেক্ষণকারী সংস্থাগুলির জন্য, প্রতিকারে বিদ্যমান দৃষ্টান্ত এবং প্রতিস্থাপন তৈরিকারী টেমপ্লেট উভয়ই কভার করা উচিত। অন্যথায়, রুটিন পুনর্নির্মাণ বা অটোস্কেলিং প্রাথমিক প্রতিক্রিয়ার পরে একটি পুরানো কনফিগারেশন পুনরায় চালু করতে পারে।
জরুরী আল্পাইন রিলিজ ফিক্স ডেলিভারি
আলপাইন 3.21.10, 3.22.8, 3.23.8 এবং 3.24.4 প্রকাশ করেছে, এর প্রকাশের ঘোষণাটি স্পষ্টভাবে নিরাপত্তা সংশোধনগুলির মধ্যে OpenSSH প্রমাণীকরণ বাইপাসকে চিহ্নিত করে।
প্রকল্পের নির্দেশাবলী হল SSH সার্ভার আপডেট এবং পুনরায় চালু করা। যেখানে আপডেট করা অস্থায়ীভাবে অসম্ভব, প্রশাসকদের পাসওয়ার্ড প্রমাণীকরণ অক্ষম করা উচিত।
OpenRC ব্যবহার করে একটি আলপাইন সিস্টেমের জন্য, প্রকাশিত প্রতিকারের ক্রম হল:
apk আপগ্রেড -U -a rc-service sshd পুনরায় চালু করুন
শুধুমাত্র প্যাকেজ আপডেট করা চলমান SSH ডেমনকে প্রতিস্থাপন করে না। প্রশাসকদের নিশ্চিত করা উচিত যে পুনঃসূচনা সফলভাবে সম্পন্ন হয়েছে।
যে সংস্থাগুলি তাদের নিজস্ব ইনস্টলেশন কম্পাইল করছে তাদের OpenSSH 10.6p2 রিলিজ নোটের সাথে পরামর্শ করা উচিত। ডিস্ট্রিবিউশন-পরিচালিত সিস্টেমগুলিকে তাদের বিক্রেতার প্যাকেজ নির্দেশিকা অনুসরণ করা উচিত, যে কোনও ব্যাকপোর্টেড ফিক্স সহ।
স্ক্যানার অনুসন্ধানগুলি পর্যালোচনা করার সময় এই পার্থক্যটি গুরুত্বপূর্ণ: আপস্ট্রিম সংস্করণ স্ট্রিং এবং বিতরণের সুরক্ষা-প্যাচ স্ট্যাটাস প্রমাণের পৃথক অংশ।
পাসওয়ার্ড প্রমাণীকরণ নিষ্ক্রিয় করার জন্য কনফিগারেশন চেক প্রয়োজন
অবিলম্বে কনফিগারেশন প্রশমন হল:
পাসওয়ার্ড প্রমাণীকরণ নম্বর
অ্যাডমিনিস্ট্রেটরদের ওয়ার্কিং কী অ্যাক্সেস যাচাই করা উচিত এবং একটি নতুন সংযোগ পরীক্ষা করার সময় একটি বিদ্যমান সেশন বজায় রাখা উচিত। এটি পরিবর্তনের সময় প্রশাসনিক অ্যাক্সেস হারানোর ঝুঁকি হ্রাস করে।
কনফিগারেশন পর্যালোচনা আমদানি করা ফাইল এবং শর্তাধীন নিয়ম অন্তর্ভুক্ত করা উচিত. OpenSSH কনফিগারেশন ম্যানুয়াল ব্যাখ্যা করে যে সেটিংস অন্তর্ভুক্ত করার মাধ্যমে লোড করা যেতে পারে, যখন ম্যাচ নিয়ম নির্দিষ্ট সংযোগের জন্য ভিন্ন আচরণের অনুমতি দেয়। কার্যকর কনফিগারেশন না বুঝে শুধু একটি নির্দেশনা যোগ করলে অনাকাঙ্ক্ষিত ব্যতিক্রম থাকতে পারে।
ম্যানুয়ালটি প্রমাণীকরণ পদ্ধতিগুলিকে প্রমাণীকরণ পদ্ধতির মাধ্যমে একটি নির্দিষ্ট ক্রম প্রয়োজন থেকে আলাদা করে। উদাহরণস্বরূপ, একটি সুস্পষ্টভাবে কনফিগার করা ক্রম অন্য পদ্ধতি অফার করার আগে সর্বজনীন-কী প্রমাণীকরণের প্রয়োজন হতে পারে।
প্রতিক্রিয়া দলগুলির জন্য, ব্যবহারিক উদ্দেশ্য হল প্রভাবিত ব্যবহারকারীদের জন্য প্রয়োগ করা নীতি এবং সংযোগ প্রসঙ্গে যাচাই করা, তারপর প্রশমন প্রয়োগ করার পরে বৈধ অ্যাক্সেস পরীক্ষা করা।
তদন্ত সফল লগইন পরীক্ষা করা উচিত
Alpine /var/log/messages-এর জন্য গৃহীত পাসওয়ার্ড পর্যালোচনা করার সুপারিশ করে যে অ্যাকাউন্টগুলির জন্য পাসওয়ার্ড গ্রহণ করা উচিত নয়। এটি বিশেষাধিকার বৃদ্ধি, নতুন ব্যবহারকারী, ফাইল এবং অনুমোদিত কীগুলি পরীক্ষা করার পরামর্শ দেয় এবং একটি হোস্টকে আপস করা হয় যেখানে অননুমোদিত লগইনকে উড়িয়ে দেওয়া যায় না।
এটি সনাক্তকরণের জোর পরিবর্তন করে। মূলত বারবার ব্যর্থ SSH প্রচেষ্টার উপর দৃষ্টি নিবদ্ধ করা পর্যবেক্ষণ সবচেয়ে প্রাসঙ্গিক প্রমাণ উপেক্ষা করতে পারে: একটি অপ্রত্যাশিত পদ্ধতি ব্যবহার করে একটি সফল প্রমাণীকরণ।
একটি দরকারী তদন্ত ইভেন্টের সময়ে অ্যাকাউন্টের কনফিগারেশন পুনর্গঠন করা উচিত। এর বর্তমান অবস্থা পরবর্তী প্রশমন, পাসওয়ার্ড পরিবর্তন বা প্রশাসনিক পদক্ষেপ প্রতিফলিত করতে পারে।
যেখানে সন্দেহজনক অ্যাক্সেস সনাক্ত করা হয়, প্যাচিংকে পুনরুদ্ধারের প্রমাণের পরিবর্তে এক্সপোজার হ্রাস হিসাবে বিবেচনা করা উচিত। উত্তরদাতাদের মূল্যায়ন করা উচিত যে অ্যাকাউন্টটি কী অ্যাক্সেস করতে পারে, বিশেষাধিকারগুলি উন্নত করা হয়েছিল কিনা এবং সেই অ্যাকাউন্টে উপলব্ধ শংসাপত্র বা স্থাপনার গোপনীয়তাগুলি প্রতিস্থাপনের প্রয়োজন কিনা।
এগুলি একটি নিশ্চিত অনুপ্রবেশ অভিযানের প্রমাণের পরিবর্তে উপদেষ্টাতে বর্ণিত অ্যাক্সেসের ঘটনা-প্রতিক্রিয়ার প্রভাব।
এআই-সহায়তা পুনঃআবিষ্কার প্রকাশের সময়কে প্রভাবিত করেছে
মিলার বলেছেন যে ওপেনএসএসএইচ টিম কাজটি প্রকাশের আগের দিন এই সমস্যাটি শিখেছে। তিনি ত্বরান্বিত প্রতিক্রিয়াটিকে সাম্প্রতিক ক্ষেত্রে যুক্ত করেছেন যেখানে এআই এজেন্টরা স্বাধীনভাবে কয়েক ঘন্টার মধ্যে দুর্বলতাগুলি পুনরায় আবিষ্কার করেছে, যুক্তি দিয়ে যে দীর্ঘ নিষেধাজ্ঞা আক্রমণকারীদের একটি সুবিধা দিতে পারে।
রিলিজ নোটগুলি নির্ধারিত রিলিজের জন্য পরিবর্তনগুলি ধরে রাখার পরিবর্তে আরও ঘন ঘন সংশোধনের দিকে একটি বিস্তৃত পদক্ষেপের বর্ণনা দেয়। একই সময়ে, প্রকল্পটি মানুষের বিশ্লেষণের গুরুত্বের উপর জোর দেয়: অনেক AI-উত্পাদিত প্রতিবেদন বাস্তবসম্মত নিরাপত্তা প্রভাব প্রদর্শন করে না।
এন্টারপ্রাইজ নিরাপত্তা দলগুলির জন্য, সেই পদ্ধতিটি সরাসরি বিক্রেতার ঘোষণাগুলি পর্যবেক্ষণ করার গুরুত্ব বাড়ায়। একটি সমালোচনামূলক প্রমাণীকরণ ফিক্স প্রতিষ্ঠিত রক্ষণাবেক্ষণ চক্রের বাইরে আসতে পারে, এক্সপোজার, অস্থায়ী নিয়ন্ত্রণ এবং স্থাপনার উপর দ্রুত সিদ্ধান্ত নেওয়া প্রয়োজন।
কি নিরাপত্তা নেতাদের অগ্রাধিকার দেওয়া উচিত
তাৎক্ষণিক অগ্রাধিকার হল মুসল-ভিত্তিক লিনাক্সে পৌঁছানো যায় এমন SSH পরিষেবাগুলি সনাক্ত করা, তাদের প্রমাণীকরণ কনফিগারেশন স্থাপন করা এবং বিক্রেতা সংশোধন বা প্রভাবিত পাসওয়ার্ড পাথ নিষ্ক্রিয় করা।
প্রতিক্রিয়া ট্র্যাকিং একটি দুর্বল প্যাকেজ সনাক্তকরণ, এর প্রতিস্থাপন ইনস্টল করা, পরিষেবা পুনরায় চালু করা এবং ফলাফল কনফিগারেশন যাচাই করার মধ্যে পার্থক্য করা উচিত। প্রতিটি একটি ভিন্ন অপারেশনাল প্রশ্নের উত্তর দেয়।
প্রকাশটি সুবিধাপ্রাপ্ত অ্যাকাউন্টগুলির আশেপাশে অনুমানগুলি পুনরায় দেখার একটি কারণও সরবরাহ করে। "এসএসএইচ কী ব্যবহার করে," "কোন পাসওয়ার্ড সেট নেই" এবং "পাসওয়ার্ড দিয়ে প্রমাণীকরণ করা যায় না" বিভিন্ন শর্ত বর্ণনা করে। নিরাপত্তা নীতির উদ্দেশ্য সীমাবদ্ধতা স্পষ্ট করা উচিত এবং যাচাইকরণ নিশ্চিত করা উচিত যে চলমান পরিষেবা এটি প্রয়োগ করে।
