গবেষকরা: ডেস্কটপের জন্য জাভা রানটাইম এনভায়রনমেন্টের গুরুতর ত্রুটি, সার্ভার

পোলিশ নিরাপত্তা গবেষণা ফার্মের সিকিউরিটি এক্সপ্লোরেশন থেকে জাভা ঝুঁকির শিকারিরা একটি নতুন দুর্বলতা খুঁজে পেয়েছেন যা সর্বশেষ ডেস্কটপ এবং সার্ভার সংস্করণগুলিকে প্রভাবিত করে। জাভা রানটাইম এনভায়রনমেন্ট (জেআরই)।

জালার প্রতিচ্ছবি API কম্পোনেন্টে দুর্বলতা রয়েছে এবং জাভা সিকিউরিটি স্যান্ডবক্সকে সম্পূর্ণভাবে বাইপ করতে এবং কম্পিউটারে অবাধ কোড চালানোর জন্য ব্যবহার করা যেতে পারে, সোমবার সিকিউরিটি এক্সপোরেন্সের সিইও আদম গাউদিক একটি পূর্ণবিকাশ মেইলিং তালিকা পাঠানো একটি ইমেল। ত্রুটি জাভা 7 আপডেট 21 সহ সমস্ত সংস্করণ প্রভাবিত করে, যা গত মঙ্গলবার ওরাকল দ্বারা মুক্তি পায় এবং একই সময়ে মুক্তিপ্রাপ্ত নতুন সার্ভারের JRE প্যাকেজটি। তিনি বলেন।

নামটি নির্দেশ করে, সার্ভার জেরা একটি সংস্করণ জাভা সার্ভার স্থাপনার জন্য ডিজাইন করা জাভা রানটাইম এনভায়রনমেন্টের ওরাকলের মতে, সার্ভার জেরাতে জাভা ব্রাউজার প্লাগ-ইন থাকে না, ওয়েব-ভিত্তিক শোষণের জন্য ঘন ঘন টার্গেট, স্বয়ংক্রিয় আপডেট উপাদান বা ইনস্টলার নিয়মিত JRE প্যাকেজে পাওয়া যায় না।

[আরও পাঠ্য: কিভাবে আপনার উইন্ডোজ পিসি থেকে ম্যালওয়্যার সরিয়ে ফেলার জন্য]

যদিও ওরাকল সচেতন যে জাভা দুর্বলতাগুলি সার্ভারের ডিপোয়িমেন্টে দুর্বল প্রক্রিয়ায় API গুলি (অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেস) এ দূষিত ইনপুট সরবরাহ করেও শোষিত হতে পারে, তবে তার বার্তাটি সাধারণত যে বেশিরভাগ জাভা দুর্বলতা শুধুমাত্র জাভা ব্রাউজার প্লাগ ইন প্রভাবিত করে বা সার্ভারে জাভা ফাওগুলির জন্য শোষণ পরিস্থিতি অসম্ভব বলে মনে হয়, গৌধাককে মঙ্গলবার মঙ্গলবার ইমেলের মাধ্যমে বলে।

"আমরা ব্যবহারকারীদের সচেতন করার চেষ্টা করেছি যে ওরাকলের দাবিগুলি জাভাের প্রভাবের ব্যাপারে ভুল ছিল এসই দুর্বলতা, "গৌধাক বলেন। "আমরা প্রমাণ করেছি যে জাভা প্লাগ-ইনকে প্রভাবিত করে এমন ওকেল দ্বারা মূল্যায়িত বাগও সার্ভারগুলিকেও প্রভাবিত করতে পারে।"

ফেব্রুয়ারি মাসে, নিরাপত্তা অনুসন্ধানগুলি একটি প্রুফ অফ-প্রজেক্ট প্রকাশ করেছে যা জাভা ঝুঁকির জন্য প্লাগ-ইন- ভিত্তিক যে RMI (রিমোট পদ্ধতির আহ্বান) প্রোটোকল ব্যবহার করে জাভা আক্রমণ করতে ব্যবহার করা যেতে পারে, Gowdiak বলেন। ওরাকল গত সপ্তাহে জাভা আপডেটে আরএমআই আক্রমণ ভেক্টরকে সম্বোধন করে, কিন্তু সার্ভারে জাভা স্থাপনার উপর আক্রমণের অন্যান্য পদ্ধতি বিদ্যমান থাকে। তিনি বলেন।

নিরাপত্তা এক্সপ্লোরেশন গবেষকরা সার্ভার জেরাতে পাওয়া নতুন ঝুঁকির সফল শোষণ যাচাই করে নি, কিন্তু তারা পরিচিত জাভা এপিআই এবং উপাদানগুলিকে তালিকাভুক্ত করে যেগুলিকে সার্ভারে অবিশ্বস্ত জাভা কোড লোড বা চালানো যেতে পারে।

যদি একটি আক্রমণ ভেক্টরটি একটি ওএলএলএর "সিকিউর কোডিং গাইডলাইন ফর জাভার জন্য গাইডলাইন 3-8" প্রোগ্রামিং ভাষা, "জাভার সার্ভার স্থাপনার একটি দুর্বলতার মাধ্যমে আক্রমণ করা যায় যেমন সোমবার থেকে ওরাকল রিপোর্ট করা হয়েছে, Gowdiak বলেন।

রিফ্লেকশন API বাস্তবায়িত এবং জাভা 7 এর নিরাপত্তা সমস্যাগুলির জন্য নিরীক্ষণের সাথে গবেষক উদ্ভাবন করেছেন কারণ উপাদান এ পর্যন্ত বহুবিধ দুর্বলতাগুলির উত্স হয়েছে। "রিফ্লেকশন এপিআই জাভা নিরাপত্তা মডেলটি খুব ভালভাবে মাপসই করে না এবং যদি সঠিকভাবে ব্যবহার করা হয় তবে এটি সহজেই নিরাপত্তা সমস্যার সম্মুখীন হতে পারে।"

এই নতুন ত্রুটিটি প্রতিফলন API দুর্বলতার একটি আদর্শ উদাহরণ, গৌধাক বলেন। তিনি বলেন, এই অস্পষ্টতা জাভা 7 কোড এক বছরের মধ্যে উপস্থিত হতে পারে না। সেক্ষেত্রে প্রতিফলন API সম্পর্কিত একটি জেনেরিক সিকিউরিটি সমস্যা অ্যারেলে সিকিউরিটি এক্সপ্লোরেশন দ্বারা রিপোর্ট করা হয়েছিল।