সাইবার আক্রমণের শঙ্কায় জরুরি আপডেট মাইক্রোসফটের
নিজস্ব প্রতিবেদক
রবিবার, ২৬ এপ্রিল ২০২৬, ১৭:১১
ওয়েব অ্যাপ্লিকেশন নিরাপত্তায় বড় ধরনের ঝুঁকি তৈরি করা এক ত্রুটি শনাক্তের পর দ্রুত পদক্ষেপ নিয়েছে মাইক্রোসফট। ব্যবহারকারীর অজান্তেই সিস্টেম নিয়ন্ত্রণ নেওয়ার সুযোগ তৈরি হচ্ছিল এই দুর্বলতায়। বিষয়টি সামনে আসতেই জরুরি আপডেট প্রকাশ করে প্রতিষ্ঠানটি। প্রযুক্তি সংশ্লিষ্টদের মতে, সময়মতো আপডেট না করলে বড় ক্ষতির আশঙ্কা ছিল।
মাইক্রোসফট জানিয়েছে, আউট অব ব্যান্ড নিরাপত্তা আপডেটের মাধ্যমে এএসপি ডটনেট কোরের একটি প্রিভিলেজ এসকেলেশন ত্রুটি ঠিক করা হয়েছে। সিভিই-২০২৬-৪০৩৭২ নামে শনাক্ত এই দুর্বলতা ডেটা প্রোটেকশন ক্রিপ্টোগ্রাফিক এপিআইতে ছিল।
এই ত্রুটির সুযোগ নিয়ে কোনো প্রমাণীকরণ ছাড়াই আক্রমণকারীরা ভুয়া অথেনটিকেশন কুকি তৈরি করতে পারত। এর মাধ্যমে আক্রান্ত ডিভাইসে সিস্টেম পর্যায়ের নিয়ন্ত্রণ নেওয়া সম্ভব ছিল, যা অত্যন্ত ঝুঁকিপূর্ণ।
চলতি মাসের প্যাচ টিউসডে আপডেটের অংশ হিসেবে ডটনেট ১০.০.৬ সংস্করণ ইনস্টলের পর ব্যবহারকারীরা অ্যাপ্লিকেশনে ডিক্রিপশন ব্যর্থ হওয়ার সমস্যা জানান। এই অভিযোগের ভিত্তিতেই ত্রুটিটি শনাক্ত করে মাইক্রোসফট।
প্রতিষ্ঠানটি ব্যাখ্যা করেছে, ডেটা প্রোটেকশন প্যাকেজের একটি ত্রুটির কারণে এনক্রিপশন যাচাইয়ের সময় ভুল ডেটার ওপর এইচএমএসি যাচাই ট্যাগ গণনা হচ্ছিল। কিছু ক্ষেত্রে সেই গণনা করা হ্যাশ বাতিল হয়ে যাচ্ছিল। ফলে যাচাই প্রক্রিয়া ভেঙে পড়ছিল।
এর ফলে আক্রমণকারীরা ভুয়া পেলোড তৈরি করতে পারত, যা সিস্টেমের যাচাই পাস করত। এমনকি আগে সুরক্ষিত রাখা ডেটাও ডিক্রিপ্ট করা সম্ভব ছিল। এর মধ্যে ছিল অথেনটিকেশন কুকি, অ্যান্টিফরজারি টোকেন, টেম্পডেটা এবং ওআইডিসি স্টেটের মতো গুরুত্বপূর্ণ উপাদান।
আরও উদ্বেগের বিষয় হলো, এই দুর্বলতার সুযোগে আক্রমণকারীরা উচ্চাধিকারসম্পন্ন ব্যবহারকারী হিসেবে লগ-ইন করে বৈধ টোকেন নিজেদের জন্য তৈরি করাতে পারত। যেমন সেশন রিফ্রেশ টোকেন, এপিআই কী বা পাসওয়ার্ড রিসেট লিংক। এই টোকেনগুলো পরবর্তীতে আপডেট করলেও কার্যকর থাকতে পারে, যদি ডেটা প্রোটেকশন কী পরিবর্তন না করা হয়।
মাইক্রোসফট আরও জানিয়েছে, এই ত্রুটির মাধ্যমে আক্রমণকারীরা ফাইলের তথ্য দেখতে বা ডেটা পরিবর্তন করতে পারলেও সিস্টেম পুরোপুরি অচল করতে পারত না।
প্রতিষ্ঠানটির জ্যেষ্ঠ প্রোগ্রাম ব্যবস্থাপক রাহুল ভান্ডারি সতর্ক করে বলেছেন, যেসব অ্যাপ্লিকেশন এএসপি ডটনেট কোর ডেটা প্রোটেকশন ব্যবহার করে, সেগুলো দ্রুত ১০.০.৭ সংস্করণে আপডেট করতে হবে। এরপর পুনরায় ডেপ্লয় করতে হবে, যাতে যাচাই প্রক্রিয়া ঠিকভাবে কাজ করে এবং ভুয়া পেলোড স্বয়ংক্রিয়ভাবে বাতিল হয়।
এর আগে গত অক্টোবরে কেস্ট্রেল ওয়েব সার্ভারে একটি এইচটিটিপি রিকোয়েস্ট স্মাগলিং ত্রুটি শনাক্ত হয়েছিল, যা এএসপি ডটনেট কোরের ইতিহাসে সবচেয়ে উচ্চ ঝুঁকিপূর্ণ হিসেবে বিবেচিত হয়। ওই ত্রুটির মাধ্যমে আক্রমণকারীরা অন্য ব্যবহারকারীর তথ্য দখল, নিরাপত্তা ব্যবস্থা এড়িয়ে যাওয়া বা সার্ভার অচল করার সুযোগ পেত।
এ ছাড়া সম্প্রতি এপ্রিল ২০২৬ নিরাপত্তা আপডেট ইনস্টলের পর উইন্ডোজ সার্ভার ব্যবস্থায় সৃষ্ট সমস্যার সমাধানেও আলাদা জরুরি আপডেট প্রকাশ করেছে মাইক্রোসফট।
নতুন এই ত্রুটি দ্রুত সমাধান করায় বড় ধরনের সাইবার ঝুঁকি এড়ানো সম্ভব হয়েছে বলে মনে করছেন সংশ্লিষ্টরা।
