भारतीय साइबर एजेंसी ने सिस्को उत्पादों में कई बग पाए

भारतीय साइबर एजेंसी ने सिस्को उत्पादों में कई बग पाए

रिपोर्ट किए गए सॉफ़्टवेयर में ‘कमांड इंजेक्शन भेद्यता’ मौजूद है, क्योंकि बैकअप फ़ाइल की सामग्री को रिस्टोर के समय अनुचित तरीके से साफ किया गया है।

इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय के तहत आने वाली भारतीय कंप्यूटर इमरजेंसी रिस्पांस टीम (CERT-In) ने नेटवर्किंग दिग्गज सिस्को उत्पादों में तीन गंभीर कमजोरियों के बारे में एक सलाह जारी की है, जो हैकर्स को पहुँच प्राप्त करने, कंप्यूटर सिस्टम में घुसपैठ करने और डेटा चोरी करने की अनुमति दे सकती हैं।

CERT-In ने अपनी नवीनतम सलाह में कहा कि सिस्को एडेप्टिव सिक्योरिटी एप्लायंस (ASA) सॉफ़्टवेयर और सिस्को फायरपावर थ्रेट डिफेंस (FTD) सॉफ़्टवेयर में रिपोर्ट की गई कमज़ोरियाँ हमलावरों को रूट-लेवल विशेषाधिकारों के साथ अंतर्निहित ऑपरेटिंग सिस्टम पर मनमाने कमांड और कोड निष्पादित करने की अनुमति दे सकती हैं, जिससे डिवाइस अप्रत्याशित रूप से पुनः लोड हो सकती है, जिसके परिणामस्वरूप सेवा से इनकार (DoS) हो सकता है।

रिपोर्ट किए गए सॉफ़्टवेयर में ‘कमांड इंजेक्शन भेद्यता’ मौजूद है, क्योंकि बैकअप फ़ाइल की सामग्री को रिस्टोर के समय अनुचित तरीके से साफ किया गया है। साइबर एजेंसी ने कहा, “एक हमलावर एक तैयार बैकअप फ़ाइल को प्रभावित डिवाइस पर पुनर्स्थापित करके इस भेद्यता का फायदा उठा सकता है।” HTTP हेडर को पार्स करते समय अपूर्ण त्रुटि जाँच के कारण एक और ‘सेवा अस्वीकार भेद्यता’ मौजूद है। हमलावर “एक डिवाइस पर लक्षित वेब सर्वर को एक तैयार HTTP अनुरोध भेजकर” इस भेद्यता का उपयोग कर सकते हैं और सफल शोषण उन्हें “डिवाइस को फिर से लोड करने पर DoS स्थिति” पैदा करने की अनुमति दे सकता है। तीसरी, ‘कोड निष्पादन भेद्यता’ सिस्टम फ्लैश मेमोरी से पढ़ी जाने पर फ़ाइल के अनुचित सत्यापन के कारण मौजूद है।

साइबर एजेंसी के अनुसार, एक हमलावर “एक तैयार फ़ाइल को प्रभावित डिवाइस के डिस्क0: फ़ाइल सिस्टम में कॉपी करके” इस भेद्यता का फायदा उठा सकता है। इसके अलावा, CERT-In ने लोगों को सिस्को द्वारा जारी किए गए उचित अपडेट लागू करने की सलाह दी।