भेद्यता अवलोकन 2011: घोड़े की पीठ पर ओपेरा, जोखिम में एडोब

जहां यह पतला होता है, वहां यह टूट जाता है। सकारात्मक शोध अनुसंधान केंद्र, सूचना सुरक्षा पोर्टल SecurityLab.ru के साथ मिलकर 2011 के लिए कंप्यूटर भेद्यता का विश्लेषण किया। यह पता चला कि SCADA सिस्टम, सीएमएस, एडोब कार्यक्रमों और लगभग सभी ब्राउज़रों में गंभीर सुरक्षा समस्याएं देखी गई थीं। विंडोज ऑपरेटिंग सिस्टम के अनुकूल परिवार ने पारंपरिक रूप से "खुद को प्रतिष्ठित" किया है, जहां कमजोरियों में से एक का उपयोग पौराणिक ड्यूक वायरस द्वारा किया गया था।

कितनी कमजोरियां तय की गई हैं?
वर्ष के दौरान कुल 4733 भेद्यताओं का वर्णन किया गया। सॉफ्टवेयर निर्माता 1 जनवरी तक केवल 58% कमजोरियों को खत्म करने में सक्षम थे, और 7% के लिए उन्मूलन के लिए निर्देश जारी किए। इस प्रकार, एक तिहाई से अधिक कमजोरियां साइबर अपराधियों के लिए खुली रहीं।

Adobe प्रोग्राम अधिक से अधिक क्रैक करते हैं
जीरो-डे कमजोरियां डेवलपर्स के लिए सिरदर्द हैं। सिस्टम में इन अंतरालों का उपयोग हैकर्स द्वारा एक भेद्यता संदेश के प्रकाशन और पैच जारी होने से पहले ही सक्रिय रूप से किया जाता है।
एडोब उत्पादों में ऐसी कमजोरियों की संख्या में वृद्धि को ध्यान में रखना दिलचस्प है - पिछले साल उनमें से सात थे, और एडोब ने एक और विशालकाय, माइक्रोसॉफ्ट को पछाड़ दिया, जिसमें इस पैरामीटर द्वारा 5 शून्य-दिन की कमजोरियां थीं। हाल के उदाहरणों में 2011 के अंत में खोजे गए Adobe Reader में CVE-2011-2462 की भेद्यता शामिल है, जिसका उपयोग अमेरिकी रक्षा विभाग के एक ठेकेदार ManTech को हैक करने के लिए किया गया था।


क्या ओपेरा सबसे सुरक्षित ब्राउज़र है?
2011 में कमजोरियों की संख्या के संदर्भ में सबसे संरक्षित ब्राउज़र ओपेरा था। इस प्रकार के सभी सामान्य अनुप्रयोगों में, ओपेरा को छोड़कर, बहुत बड़ी संख्या में उच्च जोखिम वाले कमजोरियों की खोज की गई है, जिनका उपयोग सिस्टम से समझौता करने के लिए किया जा सकता है। पिछले साल, प्रमुख ब्राउज़रों ने 4 महत्वपूर्ण कमजोरियां भी पाईं जिनका इस्तेमाल हमलावरों ने विभिन्न कंपनियों पर सफल हमले करने के लिए किया था। उनमें से ज्यादातर (तीन) इंटरनेट एक्सप्लोरर से आए थे और एक क्रोम 11.x में पाया गया था।



ब्राउज़रों के विभिन्न संस्करणों में भेद्यता डेटा का सामान्य दृश्य निम्नानुसार है:

ब्राउज़र / खतरे का स्तर	महत्वपूर्ण	उच्च	औसत	कम
Apple सफारी 5.x	0	140	13	16
क्रोम 8.x	0	16	4	2
क्रोम 9.x	0	43	8	3
क्रोम 10.x	0	23	3	4
क्रोम 11.x	0	12	5	2
क्रोम 12.x	1	26	9	1
क्रोम 13.x	0	40	9	3
क्रोम 14.x	0	17	2	8
क्रोम 15.x	0	20	1	16
इंटरनेट एक्सप्लोरर 6	3	16	2	11
इंटरनेट एक्सप्लोरर 7	3	15	2	12
इंटरनेट एक्सप्लोरर 8	2	17	3	11
इंटरनेट एक्सप्लोरर 9	1	14	2	10
मोज़िला फ़ायरफ़ॉक्स 3.5.x	0	18	3	3
मोज़िला फ़ायरफ़ॉक्स 3.6.x	0	34	6	4
मोज़िला फ़ायरफ़ॉक्स 5.0.x	0	7	1	1
मोज़िला फ़ायरफ़ॉक्स 6.0.x	0	7	1	1
मोज़िला फ़ायरफ़ॉक्स 7.0.x	0	5	1	2
मोज़िला फ़ायरफ़ॉक्स 8.0.x	0	4	1	2
ओपेरा 10.x	0	1	1	4
ओपेरा 11.x	0	3	7	8
Android 11.x के लिए ओपेरा मोबाइल	0	0	0	1

विंडोज - एक वर्ष में लगभग 100 कमजोरियां
विंडोज की लोकप्रियता तार्किक रूप से कमजोरियों की संख्या को प्रभावित करती है। अन्य ऑपरेटिंग सिस्टम की तुलना में, Microsoft के उत्पाद ने उन्हें सबसे अधिक पाया। विंडोज समग्र स्टैंडिंग (92 भेद्यता) और व्यक्तिगत दोनों में नेतृत्व रखता है - केवल इस OS ने रिपोर्टिंग अवधि में 2 महत्वपूर्ण कमजोरियों को प्रकाशित किया। दूसरी ओर, मैक ओएस पर अधिकतम उच्च जोखिम वाले जोखिम (33) पाए गए, 22 विंडोज पर पाए गए, और लिनक्स के विभिन्न संस्करणों पर केवल एक।



सभी स्काडा सिस्टम पर ध्यान दें
SCADA सिस्टम में कमजोरियां सर्वर सॉफ्टवेयर में व्यापक हैं: 37 कमजोरियों को 17 सुरक्षा सूचनाओं में वर्णित किया गया था। एसीएस टीपी के सॉफ्टवेयर भाग में शोधकर्ताओं की रुचि आकस्मिक नहीं है - यह पिछले दो वर्षों में है कि औद्योगिक स्वचालन के लिए अनुप्रयोगों पर लक्षित वायरस फैल गए हैं।

सीएमएस और फ़ोरम - हैकर्स के लिए एक अनुकूल वातावरण
वेब एप्लिकेशन के सेगमेंट में अनधिकृत घुसपैठ की सबसे अच्छी स्थिति सामग्री प्रबंधन प्रणाली (18%) द्वारा प्रदान की जाती है। हैकर्स लगातार सीएमएस में कमजोरियों की तलाश कर रहे हैं, और, जैसा कि हम देख सकते हैं, वे उन्हें बड़ी संख्या में (एक वर्ष में 204 कमजोरियां) पाते हैं। लोकप्रिय प्लेटफार्मों पर निर्मित साइट व्यवस्थापकों को न केवल संदिग्ध गतिविधि को नियंत्रित करने की आवश्यकता है, बल्कि सीएमएस के लिए अपडेट भी जल्दी से स्थापित करना होगा। हमें वेब मंचों के बारे में नहीं भूलना चाहिए, जो कमजोरियों (7%) के मामले में दूसरे स्थान पर हैं।

प्रश्न में Apple iTunes सुरक्षा
पिछले साल की सबसे कमजोर मीडिया खिलाड़ियों (सबसे लोकप्रिय में से) की हिट परेड ने Apple iTunes (133 कमजोरियों) का नेतृत्व किया। सूची के मध्य में व्यापक VLC Media Player (15 भेद्यताएँ) हैं, जबकि Windows Media Player ने केवल दो भेद्यताएँ प्रकाशित की हैं, जो Apple iTunes से लगभग 70 गुना कम है।

सिस्टम में 77% "छेद" दूर से उपयोग किए जा सकते हैं
यदि हम 2011 के लिए सभी कमजोरियों पर विचार करते हैं, तो 77% कमजोरियों का दोहन करते हुए हमलावर दूर से काम कर सकता है। 15% के लिए, एक स्थानीय नेटवर्क की आवश्यकता थी, और 8% के लिए, एक व्यक्तिगत उपस्थिति या अंदरूनी जानकारी की आवश्यकता थी।

हर चौथी भेद्यता आपको सिस्टम से समझौता करने की अनुमति देती है
लगभग एक चौथाई कमजोरियों (24%) ने हैकर को पीड़ित के कंप्यूटर पर मनमाना कोड निष्पादित करके सिस्टम से समझौता करने की अनुमति दी। पता चला "छेद" का एक और 21% एक XSS हमले के लिए उपयुक्त था, 15% का उपयोग सेवा से वंचित करने के लिए किया जा सकता है, महत्वपूर्ण डेटा का खुलासा करने के लिए 13%, अनधिकृत डेटा परिवर्तनों के लिए 12%।

एक संयंत्र और एक परमाणु कार्यक्रम को रोकने के तरीके के रूप में कमजोरियां
2011 में, विशेषज्ञों ने ठंडे साइबर युद्ध के युग की शुरुआत के बारे में पूरी आवाज में बात की थी। हैकर्स का लक्ष्य औद्योगिक उद्यम और सैन्य रहस्य हैं। गिरावट में, ड्यूक नामक एक ट्रोजन वायरस ज्ञात हो गया। यह महत्वपूर्ण भेद्यता CVE-2011-3402 का उपयोग करते हुए एक विंडोज-आधारित कंप्यूटर में प्रवेश करता है। फिर वायरस आईटी इंफ्रास्ट्रक्चर के बारे में जानकारी चुराने और औद्योगिक सुविधाओं पर नियंत्रण स्थापित करने के लिए उद्यम के आसन्न SCADA- सिस्टम में घुसपैठ करने में सक्षम है। कुछ विशेषज्ञों ने उल्लेख किया कि मुख्य ड्यूक मॉड्यूल के टुकड़े स्टक्सनेट "वर्म" के समान हैं, जो 2010 में कई ईरानी यूरेनियम संवर्धन संयंत्रों को निष्क्रिय कर दिया था।

नकली एसएसएल प्रमाणपत्र - ईरान के लिए बदला?
2011 के वसंत और गर्मियों में, ईरानी हैकर्स ने कॉमोडो और डिगिनोटार प्रमाणन केंद्रों के सर्वर को क्रमिक रूप से हैक कर लिया। दूसरा मामला विशेष रूप से फलदायी निकला। चोरी किए गए कुछ सुरक्षा प्रमाणपत्र सीआईए, मोसाद और एमआई -6 के थे। अंतर्राष्ट्रीय साइबर खुफिया के अलावा, चोरी किए गए "डिजिटल पासपोर्ट" का उपयोग मानव-में-मध्य (मिटम) हमलों के लिए किया गया था। हैकर ने "क्लाइंट" के इंटरनेट ट्रैफ़िक को अपने स्वयं के प्रॉक्सी सर्वर के माध्यम से पारित किया, जहां पीड़ित के ब्राउज़र ने एक नकली प्रमाण पत्र के साथ मुलाकात की और डिक्रिप्टेड रूप में सूचना जारी की। एसएसएल प्रमाणपत्रों का उपयोग करने वाले इंटरनेट बैंकिंग, ऑनलाइन मेल सेवाओं और अन्य सेवाओं के उपयोगकर्ता हिट हो गए।

अमेरिका के डिजिटल हस्ताक्षर और सैन्य रहस्य
मार्च 2011 के मध्य में RSA सुरक्षा सर्वर को हैक करके अज्ञात हैकरों ने RSA SecurID डिजिटल हस्ताक्षर की विश्वसनीयता से समझौता किया। इन कुंजियों का उपयोग 40 मिलियन से अधिक श्रमिकों द्वारा बंद नेटवर्क तक पहुंच प्राप्त करने के लिए किया गया था। हमले की शुरुआत मूल कंपनी RSA के कर्मचारियों से एक पेचीदा शीर्षक "स्टाफिंग प्लान 2011.xls" के साथ एक नकली एक्सेल फाइल खोलने के लिए हुई। खोलने पर, संक्रमित तालिका ने पीसी पर पॉइज़न आइवी बैकडोर स्थापित किया, एडोब फ्लैश प्लेयर में भेद्यता CVE-2011-0609 का शोषण किया। चुराई गई जानकारी में दो-कारक प्रमाणीकरण के नवीनतम समाधानों के बारे में जानकारी थी। बाद में, चोरी की गई चाबियों का उपयोग करते हुए, उन्होंने सैन्य-औद्योगिक परिसर, लॉकहीड मार्टिन कॉरपोरेशन में दुनिया के सबसे बड़े उद्यम के सर्वर में सेंध लगाने की कोशिश की।

PCI DSS मानक का पालन न करने के कारण क्या होता है
मई 2011 में, रोमानियाई हैकर्स को ट्रेडिंग टर्मिनलों के लेनदेन लेनदेन प्रणाली को हैक करते हुए पकड़ा गया और तीन साल के लिए ग्राहक कार्ड भुगतान डेटा को इंटरसेप्ट किया गया। मुख्य झटका कंपनी सबवे पर गिर गया। द वायर के अनुसार, सबवे लैन में प्रवेश, रेस्तरां में वायरलेस नेटवर्क के माध्यम से था, और टर्मिनलों ने स्वयं भुगतान कार्ड उद्योग (पीसीआई डीएसएस) के सुरक्षा मानकों को पूरा नहीं किया था। इसके अलावा, टर्मिनलों के लिए दूरस्थ तकनीकी सहायता प्रदान करने वाले विशेषज्ञों ने न केवल PCAnywhere दूरस्थ प्रशासन अनुप्रयोग के लिए अद्यतन स्थापित नहीं किए, बल्कि 200 से अधिक प्रणालियों में लॉगिन और पासवर्ड (व्यवस्थापक, कंप्यूटर) का सबसे सरल संयोजन भी चुना।

UPD : OS भेद्यता को केवल उन लोगों के खाते में लिया गया जो OS कर्नेल में ही मौजूद थे और इसके घटकों / सेवाओं में, अर्थात तृतीय-पक्ष सॉफ़्टवेयर कमजोरियों पर विशेष रूप से विचार नहीं किया गया था

UPD2 : पूर्ण समीक्षा