कैओस कम्युनिकेशन कांग्रेस में घोषित कई लोकप्रिय वेब प्रोग्रामिंग भाषाओं में दर्जनों कमजोरियां

आईटी विशेषज्ञों कैओस कम्युनिकेशन कांग्रेस के अंतर्राष्ट्रीय सम्मेलन में, अलेक्जेंडर "एलेच" किलिंक और जूलियन "ज़री" वैल्डे द्वारा एक रिपोर्ट प्रकाशित की गई थी, जिसमें लोकप्रिय वेब प्रोग्रामिंग भाषाओं में कई गंभीर कमजोरियों का वर्णन किया गया था। शोधकर्ता अधिकांश समस्याओं को वेब प्रपत्रों के गलत प्रसंस्करण और हैश टेबलों से समझौता करने की संभावना से जोड़ते हैं, जिससे वेब सर्वरों पर एक सफल डॉस हमला हो सकता है और बाद में डेटा चोरी हो सकती है, और हमले को व्यवस्थित करने के लिए महत्वपूर्ण संसाधनों की आवश्यकता नहीं होती है।

शोधकर्ता इस तरह से कमजोरियों का सार बताते हैं: वेब प्रोग्रामिंग भाषाएं - जैसे PHP, ASP.NET, जावा, पायथन, रूबी - कंप्यूटर कंप्यूटिंग संसाधनों तक सीधी पहुंच रखती हैं; इन भाषाओं में लिखे गए वेब एप्लिकेशन अक्सर स्वचालित मोड में POST अनुरोधों को संसाधित करते हैं, और यदि अनुप्रयोग यादृच्छिक हैश फ़ंक्शन का उपयोग नहीं कर सकता है, तो एक हमलावर विशेष रूप से आयोजित अनुरोध के साथ हैश मान संघर्ष का कारण बन सकता है, जो सर्वर कंप्यूटिंग संसाधनों को महत्वपूर्ण रूप से लोड कर सकता है ।

वर्तमान में, PHP 5, जावा और ASP.NET ( UPD : पैच रिलीज़) वर्णित हमले के खिलाफ पूरी तरह से असुरक्षित हैं, जबकि PHP 4, पायथन और रूबी आंशिक रूप से कमजोर हैं (रिपोर्ट में कहा गया है कि अधिकांश भेद्यता अवधारणाओं पर आधारित हैं) जो पहले प्रकट हुई थीं 2003 में, हालांकि, केवल रूबी में 2008 में एक सुधार दिखाई दिया जो आंशिक रूप से ऑपरेशन को छोड़कर), और खतरे की डिग्री 32-बिट या 64-बिट आर्किटेक्चर पर निर्भर करती है।

यह उत्सुक है कि Microsoft ने पहले से ही एक गंभीर समस्या के अस्तित्व को पहचान लिया है और सुरक्षा सलाहकार 2659883 से संबंधित एक आपातकालीन पैच जारी किया है, जो ASP.NET में हैश फ़ंक्शन टकराव की समस्या को ठीक करता है। जारी किया गया पैच विंडोज के सभी वर्तमान में समर्थित संस्करणों पर .NET प्लेटफॉर्म को ठीक करने से संबंधित है, हालांकि समस्या के संचालन से संबंधित कोई ज्ञात घटनाएं नहीं हैं।

सभी तकनीकी विवरणों के साथ एक अत्यंत विस्तृत रिपोर्ट यहां पाई जा सकती है - ( पीडीएफ )

UPD: kadukmm की उपयोगकर्ता टिप्पणी मेरे पहले से ही सही गलत होने से संबंधित है।

[ स्रोत ]