৩টি বাধ্যতামূলক অ্যাপাচি সার্ভার ভালনারেবিলিটি এবং আপনার সাইটগুলো রক্ষা করার উপায়

অ্যাপাচি, বিশ্বের সবচেয়ে ব্যাপকভাবে ব্যবহৃত ওয়েব সার্ভার সফটওয়্যার, সময়ের সাথে সাথে খ্যাতি-ক্ষতিকর ভালনারেবিলিটির শিকার হয়েছে। এই ভালনারেবিলিটিগুলো সার্ভারকে বিভিন্ন ধরনের ম্যালিশিয়াস আক্রমণ এবং অন্যান্য ইন্টারনেট ফ্রডের আহত শীল করে তোলে যা তথ্য চুরি ও ক্ষতির দিকে নিয়ে যায়। যদিও অ্যাপাচি নিয়মিত আপনার আহত শীল ভার্সনগুলোর জন্য আপডেট রিলিজ করে, তবে নিচের অ্যাপাচি ভালনারেবিলিটিগুলো তাদের বাধ্যতামূলক ক্ষতির সম্ভাবনার জন্য খ্যাতি পেয়েছে।

১. OpenMeetings SQL ইনজেকশন ভালনারেবিলিটি

Apache OpenMeetings ভার্সন ১.০.০ SQL ইনজেকশন ভালনারেবিলিটি (CVE-2017-7681) এর আহত শীল ছিল, যা ইনফরমেশন ডিসক্লোজারের সম্ভাবনা সৃষ্টি করে। দুর্বলতা শোষা করতে, আক্রমণকারীর সিস্টেমে লগইন করা থাকতে হবে যেমন কমান্ড লাইন, ডেস্কটপ সেশন বা ওয়েব ইন্টারফেসের মাধ্যমে। কিছু সিস্টেম ফাইল বা ইনফরমেশন মডিফাই করা সম্ভব, কিন্তু আক্রমণকারী কী মডিফাই করা যাবে বা আক্রমণকারী কী প্রভাব ফেলতে পারে তার ওপর নিয়ন্ত্রণ নেই।

OpenMeetings সবচেয়ে জনপ্রিয় ভার্চুয়াল মিটিং সফটওয়্যারগুলির একটি, যেটি ব্যাপকভাবে অনলাইন প্রেজেন্টেশন, অনলাইন ট্রেনিং, ওয়েব কনফারেন্সিং, এবং ইউজার ডেস্কটপ শেয়ারিং-এ ব্যবহৃত হয়। এর ব্যাপক ব্যবহারের কারণে এক্সিস্টিং কোয়েরির কাঠামো এবং অ্যাপ্লিকেশন দ্বারা ব্যাকএন্ডে করা অন্যান্য কোয়েরির কাঠামো লিক হওয়ার রিস্ক থাকে।

তাত্ক্ষণিক রিমিডিয়েশন হলো Apache OpenMeetings ৩.৩.০-এ আপগ্রেড করা।

আপনি যদি আপনার ওয়েবসাইটের (কাস্টম কোডেড বা CMS) নিরাপত্তা সমাধান খুঁজছেন, তবে আস্ত্রা ফায়ারওয়াল আপনার ওয়েবসাইটকে ২৪×৭ XSS, LFI, RFI, SQL ইনজেকশন, ব্যাড বটস এবং ৮০+ অন্যান্য হুমকি থেকে রক্ষা করবে। আস্ত্রা ডেমো এখনই নিন।

২. Apache Ranger সিকিউরিটি বাইপাস ভালনারেবিলিটি

Apache Ranger একটি সিকিউরিটি-বাইপাস ভালনারেবিলিটি (CVE-2017-7676) এর আহত শীল হয়েছে। ফলে, আক্রমণকারী এই ইস্যু শোষা করে কিছু নিরাপত্তা সীমাবদ্ধতা বাইপাস করতে পারে এবং অননুমোদিত অ্যাকশন পারফর্ম করতে পারে, যা القادمة আক্রমণের সহায়তা করতে পারে। এটি পলিসি রিসোর্স ম্যাচারকে '*' 와일্ডকার্ড ক্যারেক্টারের পরের ক্যারেক্টারগুলো ইগনোর করতে বাধ্য করে, ফলে প্রভাবিত পলিসিগুলো সেসব রিসোর্সে প্রয়োগ হয় যেগুলোতে হওয়া উচিত নয়।

Apache Ranger হাডুপ প্ল্যাটফর্ম জুড়ে ব্যাপক ডেটা নিরাপত্তা ইনাবল, মনিটর ও ম্যানেজ করার জন্য ব্যাপকভাবে ব্যবহৃত একটি ফ্রেমওয়ার্ক। যদিও লো সেভেরিটি হিসেবে বিবেচিত, প্রভাবশালীভাবে। সিকিউরিটি বাইপাস ভালনারেবিলিটি Ranger ভার্সন ০.৫.১ থেকে ০.৭ কে প্রভাবিত করে। তাত্ক্ষণিক রিমিডিয়েশন হলো Apache Ranger ভার্সন ০.৭.১-এ আপগ্রেড করা যা এই ইস্যু ফিক্স করে।

৩. Apache HTTP Server অথেন্টিকেশন বাইপাস ভালনারেবিলিটি

Apache HTTP Server CVE-2017-3167 অথেন্টিকেশন বাইপাস ভালনারেবিলিটি আক্রমণকারীকে অথেন্টিকেশন মেকানিজম বাইপাস করতে এবং অননুমোদিত অ্যাকশন পারফর্ম করতে দেয়, যা القادمة আক্রমণের দিকে নিয়ে যায়। এই ভালনারেবিলিটি দ্বারা প্রভাবিত ভার্সনগুলো হলো Apache HTTP Server ২.২.০ থেকে ২.২.৩২ এবং Apache HTTP Server ২.৪.০ থেকে ২.৪.২৫।

ভালনারেবিলিটি উত্পন্ন হয়েছে অ্যাপাচি HTTP সার্ভারের ap_get_basic_auth_pw() ফাংশনের ভুল ব্যবহার কারণে থার্ড-পার্টি মডিউল দ্বারা প্রভাবিত সফটওয়্যারের অথেন্টিকেশন ফেজের বাইরে। বরং, থার্ড-পার্টি মডিউলগুলোর ap_get_basic_auth_components() ফাংশন ব্যবহার করা উচিত।

সেফগার্ডগুলোর মধ্যে রয়েছে ফিক্সড ভার্সনে আপডেট করা, শুধু ট্রাস্টেড ইউজারদের নেটওয়ার্ক অ্যাক্সেস, এবং IP-ভিত্তিক অ্যাক্সেস কন্ট্রোল লিস্ট (ACLs) নিয়োগ করা যাতে শুধু ট্রাস্টেড সিস্টেমগুলো প্রভাবিত সিস্টেমগুলো এক্সেস করতে পারে।

এছাড়া, সবচেয়ে বাধ্যতামূলক অ্যাপাচি ভালনারেবিলিটি সম্পর্কে আমাদের বিস্তারিত ব্লগ পড়ুন।

অনলাইন ফ্রডস্ট্রদের থেকে আপনার ওয়েবসাইট সুরক্ষিত করার বিষয়ে চিন্তিত? যোগাযোগ করুন আস্ত্রার ওয়েব সিকিউরিটি স্যুইট এর সাথে যাতে ২৪×৭ নিরাপত্তা নিশ্চিত হয় XSS, LFI, RFI, SQL ইনজেকশন, ব্যাড বটস এবং ৮০+ অন্যান্য হুমকি থেকে।