මෑත වර්ධනයකදී, CVE-2023-43770 ලෙස නම් කර ඇති Roundcube විද්යුත් තැපැල් මෘදුකාංගයේ තීරණාත්මක අවදානමක් එක්සත් ජනපද Cybersecurity and Infrastructure Security Agency (CISA) විසින් හඳුනාගෙන ඇත. CVSS ලකුණු 6.1ක් සහිත හරස්-අඩවි ස්ක්රිප්ටින් (XSS) දෝෂයක් ලෙස වර්ගීකරණය කරන ලද මෙම අවදානම වල් තුළ සක්රියව භාවිතා කර ඇත. මෙම ලිපිය CVE-2023-43770 හි විස්තර, එහි විභව ප්රතිවිපාක, බලපෑමට ලක් වූ අනුවාද සහ සයිබර් ආරක්ෂණ බලධාරීන් විසින් නිර්දේශ කරන ලද ප්රතිකර්ම පියවරයන් පිළිබඳව සොයා බලනු ඇත.
CVE-2023-43770 හි විස්තර
CVE-2023-43770 කේන්ද්රගත වන්නේ සරල කෙටි පණිවිඩවල ලින්ක්රෙෆ් වැරදි ලෙස හැසිරවීම වටා ය. රවුන්ඩ්කියුබ් වෙබ්මේල් වේදිකාව. මෙම දෝෂය නොනැසී පවතින හරස්-අඩවි ස්ක්රිප්ටින් (XSS) ප්රහාර සඳහා විභව මාවතක් නිර්මාණය කරයි, අනිෂ්ට සබැඳි යොමු හරහා තොරතුරු අනාවරණය කිරීමේ සැලකිය යුතු අවදානමක් ඇති කරයි. සූරාකෑමේ නිශ්චිත තොරතුරු අනාවරණය නොවූවත්, XSS අවදානම් වල බරපතලකම ක්ෂණික ක්රියාමාර්ග සඳහා ඇති හදිසි අවශ්යතාවය අවධාරණය කරයි.
අවදානම 1.4.14 ට පෙර Roundcube අනුවාදවලට, 1.5 ට පෙර 1.5.4.x සහ 1.6 ට පෙර 1.6.3.x වලට බලපායි. රවුන්ඩ්කියුබ් නඩත්තු කරන්නන් 1.6.3 සැප්තැම්බර් 15 වන දින 2023 අනුවාදය නිකුත් කිරීමෙන් ක්ෂණිකව ප්රතිචාර දක්වා ඇත, එය හඳුනාගත් අවදානම ආමන්ත්රණය කර අවම කරයි. CVE-2023-43770 සොයා ගැනීම සහ වාර්තා කිරීම සඳහා ගෞරවය Zscaler ආරක්ෂක පර්යේෂක Niraj Shivtarkar වෙත හිමිවේ.
ප්රතිවිපාක සහ තර්ජනාත්මක ක්රියාකරුවන්
වෙබ් පාදක ඊමේල් සේවාදායක දුර්වලතා තර්ජනාත්මක ක්රියාකාරීන් සඳහා තෝරා ගැනීමේ ආයුධයක් බවට පත්විය හැකි බව අතීත සිදුවීම් පෙන්නුම් කර ඇත. APT28 සහ Winter Vivern වැනි කැපී පෙනෙන කණ්ඩායම්, අතීතයේ දී සමාන දුර්වලතා උපයෝගී කර ගෙන ඇත. CVE-2023-43770 සූරාකෑමේ විභව ප්රතිවිපාකවලට අනවසර ප්රවේශය, දත්ත සොරකම් කිරීම සහ සංවේදී තොරතුරු සම්මුතියක් ඇති කර ගැනීම ඇතුළත් වේ. ආරක්ෂක පියවරයන් ක්රියාත්මක කිරීමට පරිශීලකයින්ට සහ සංවිධානවලට ඇති හදිසි අවශ්යතාවය අධිතක්සේරු කළ නොහැක.
ප්රතිචාරය සහ අවම කිරීම
හඳුනාගත් තර්ජනයට ප්රතිචාර වශයෙන්, එක්සත් ජනපද ෆෙඩරල් සිවිල් විධායක ශාඛාවේ (FCEB) නියෝජිතායතන විසින් 4 මාර්තු 2024 වන විට වෙළෙන්දා විසින් සපයන ලද නිවැරදි කිරීම් ක්රියාත්මක කිරීම සඳහා නියෝගයක් නිකුත් කර ඇත. මෙම නියෝගය ජාල ආරක්ෂාව ශක්තිමත් කිරීම සහ පැන නගින සයිබර් තර්ජන වලින් ආරක්ෂා කිරීම අරමුණු කරයි. CVE-2023-43770 අවදානම.
වැළැක්වීම සඳහා හොඳම පිළිවෙත්
අනාගත ආසාදන වැලැක්වීම සඳහා සයිබර් ආරක්ෂාව සඳහා ක්රියාශීලී ප්රවේශයක් අවශ්ය වේ. පහත හොඳම භාවිතයන් සලකා බලන්න:
- මෘදුකාංග යාවත්කාලීනව තබා ගන්න: අවදානම් ඉවත් කිරීමට සහ ආරක්ෂාව වැඩි කිරීමට නවතම අනුවාදවලට Roundcube සහ අනෙකුත් මෘදුකාංග නිතිපතා යාවත්කාලීන කරන්න.
- ආරක්ෂක පැච් ක්රියාත්මක කරන්න: හඳුනාගත් දුර්වලතා විසඳීමට මෘදුකාංග වෙළෙන්දන් විසින් සපයන ලද පැච් සහ යාවත්කාලීන කිරීම් වහාම යොදන්න.
- පරිශීලක දැනුවත් කිරීමේ පුහුණුව: සූරාකෑම්වලට ගොදුරු වීමේ අවදානම අවම කිරීම සඳහා සැක සහිත ඊමේල් හෝ ක්රියාකාරකම් හඳුනා ගැනීමට සහ වාර්තා කිරීමට පරිශීලකයින් පුහුණු කරන්න.
- ජාල ඛණ්ඩනය: සාර්ථක ප්රහාරවල විභව බලපෑම සීමා කිරීමට සහ තර්ජන පැතිරීම පාලනය කිරීමට ජාල ඛණ්ඩනය ක්රියාත්මක කරන්න.
නිගමනය
CVE-2023-43770 රවුන්ඩ්කියුබ් විද්යුත් තැපැල් මෘදුකාංගයේ සූරාකෑම විකාශනය වන තර්ජනාත්මක භූ දර්ශනය සහ ශක්තිමත් සයිබර් ආරක්ෂණ ක්රියාමාර්ගවල අවශ්යතාවය ඉස්මතු කරයි. එවැනි අවදානම් වලට ගොදුරු වීමේ අවදානම අවම කිරීම සඳහා පරිශීලකයින් සහ සංවිධාන අවශ්ය ආරක්ෂක පැච් යෙදීමට, මෘදුකාංග යාවත්කාලීන කිරීමට සහ පරිශීලකයින් දැනුවත් කිරීමට කඩිනමින් ක්රියා කළ යුතුය. ආරක්ෂක පර්යේෂකයන්, මෘදුකාංග වෙළෙන්දන් සහ සයිබර් ආරක්ෂණ බලධාරීන්ගේ සහයෝගී උත්සාහයන් නැගී එන ඩිජිටල් පරිසරයන් ආරක්ෂා කිරීම සඳහා තීරණාත්මක කාර්යභාරයක් ඉටු කරයි. සයිබර් තර්ජන.