দৈনিক ব্রিফিং
অ্যাডোবি ক্যাম্পেইন ক্লাসিক CVSS 10.0, অ্যাডফর্ম স্ক্রিপ্ট হ্যাক, হোটেলের ওয়াই-ফাই হাইজ্যাক
আজকের ব্রিফিংয়ে অ্যাডোবির গুরুত্বপূর্ণ ত্রুটি সংশোধন, অ্যাডফর্মে সরবরাহ শৃঙ্খলে কারসাজি, হোটেল নেটওয়ার্ক হাইজ্যাকিং, অ্যামজেনে ক্লাউড ডেটা চুরি এবং আর্চ লিনাক্সের AUR-এ প্যাকেজ গ্রহণ স্থগিতকরণ নিয়ে আলোচনা করা হয়েছে।
5টি খবর2 মিনিটের পাঠ
এন্টারপ্রাইজ অবকাঠামো এবং তৃতীয় পক্ষের পরিষেবাগুলো আজ তাৎক্ষণিক পরিচালনগত হুমকির সম্মুখীন। অ্যাডোবি তাদের ‘ক্যাম্পেইন ক্লাসিক’-এর একটি সর্বোচ্চ-গুরুত্বপূর্ণ ত্রুটির জন্য প্যাচ প্রকাশ করেছে, অন্যদিকে অ্যাডফর্ম-এর অ্যাডটেক সাপ্লাই চেইনে একটি নিরাপত্তা লঙ্ঘনের ঘটনায় অংশীদার ওয়েবসাইটগুলোতে ইনলাইন ক্রিপ্টোকারেন্সি ওয়ালেট অ্যাড্রেস অদলবদল হয়ে যায়।
অ্যাডোবি ক্যাম্পেইন ক্লাসিক CVSS 10.0-এর একটি ত্রুটির কারণে ব্যবহারকারীর হস্তক্ষেপ ছাড়াই কোড চালানো যেত
অ্যাডোবি তাদের Adobe Campaign Classic-এর একটি সর্বোচ্চ-গুরুত্বপূর্ণ দুর্বলতা (CVE-2026-48449) এবং একটি উচ্চ-গুরুত্বপূর্ণ SQL ইনজেকশন ত্রুটি (CVE-2026-48448) সমাধানের জন্য নিরাপত্তা প্যাচ প্রকাশ করেছে। এই ত্রুটিগুলোর ফলে ব্যবহারকারীর হস্তক্ষেপ ছাড়াই দূর থেকে যথেচ্ছ কোড চালানো এবং অননুমোদিতভাবে ফাইল সিস্টেম থেকে তথ্য পড়া সম্ভব হতো।
- কেন এটি গুরুত্বপূর্ণ
- যেসব প্রতিষ্ঠান প্যাচবিহীন অ্যাডোবি ক্যাম্পেইন ক্লাসিক সার্ভার পরিচালনা করে, তারা প্রমাণীকরণবিহীন, জিরো-ক্লিক রিমোট কোড এক্সিকিউশন এবং সংবেদনশীল ফাইল ফাঁসের ঝুঁকির সম্মুখীন হয়।
হ্যাকাররা গ্রাহকদের বিভিন্ন সাইটে ক্রিপ্টো ওয়ালেট অ্যাড্রেস অদলবদল করার জন্য অ্যাডফর্ম স্ক্রিপ্ট বিষাক্ত করে দিয়েছে।
আক্রমণকারীরা অ্যাডটেক কোম্পানি অ্যাডফর্মের পরিবেশিত trackpoint-async.js স্ক্রিপ্টটি হ্যাক করে, এবং এটিকে এমনভাবে পরিবর্তন করে যে এটি কপি করা বা টাইপ করা বিটকয়েন, ইথেরিয়াম এবং ট্রন ওয়ালেট অ্যাড্রেসগুলোকে গতিশীলভাবে আক্রমণকারীদের নিয়ন্ত্রিত অ্যাড্রেস দিয়ে প্রতিস্থাপন করতে শুরু করে। অ্যাডফর্ম ২৭ জুলাই, ২০২৬ তারিখে ক্ষতিকারক কোডটি সরিয়ে ফেলে এবং ব্যবহারকারীদের ব্রাউজার ক্যাশ পরিষ্কার করার জন্য অনুরোধ জানায়।
- কী করবেন
- লেনদেন সম্পাদনের আগে সমস্ত এন্ডপয়েন্ট জুড়ে ব্রাউজার ক্যাশে পরিষ্কার করুন এবং ম্যানুয়ালি সমস্ত টার্গেট ক্রিপ্টোকারেন্সি ওয়ালেট অ্যাড্রেস যাচাই করুন।
হাইজ্যাক হওয়া হোটেলের ওয়াই-ফাই নজরদারি ম্যালওয়্যার ছড়ানোর জন্য ভুয়া আপডেট পাঠাচ্ছে।
থ্রেট অ্যাক্টর Storm-2945 ব্যবহারকারীদের ওয়েব ট্র্যাফিককে নকল ব্রাউজার আপডেট পেজে রিডাইরেক্ট করার জন্য হোটেলের ক্যাপটিভ পোর্টাল গেটওয়েগুলোকে ডিএনএস রিজলভার হিসেবে হাইজ্যাক করে। CaptiveCrunch নামের এই ক্যাম্পেইনটি অডিও, ভিডিও এবং কীস্ট্রোক নজরদারির জন্য CornFlake RAT দ্বারা উইন্ডোজ এন্ডপয়েন্টগুলোকে সংক্রমিত করতে ClickFix সোশ্যাল ইঞ্জিনিয়ারিং কৌশল ব্যবহার করে।
অ্যামজেন বলছে, ক্লাউড ডেটা ফাঁসের ঘটনায় রোগীদের স্বাস্থ্য ও গোপনীয় তথ্য ফাঁস হয়েছে।
ওষুধ প্রস্তুতকারক বৃহৎ প্রতিষ্ঠান অ্যামজেন একাধিক তৃতীয় পক্ষের ক্লাউড পরিষেবা প্রদানকারীর কাছে সংরক্ষিত কর্পোরেট ডেটা এবং রোগীর স্বাস্থ্য রেকর্ডে অননুমোদিত প্রবেশের ফলে একটি ডেটা লঙ্ঘনের ঘটনা নিশ্চিত করেছে।
ম্যালওয়্যারের বন্যা থামাতে আর্চ লিনাক্স AUR প্যাকেজ গ্রহণ নিষ্ক্রিয় করেছে।
অনাথ মেইনটেইনার স্লটগুলোকে লক্ষ্য করে ক্ষতিকারক প্যাকেজ দ্বারা দখলের চলমান ঢেউ থামাতে, আর্চ লিনাক্স প্রজেক্ট সাময়িকভাবে আর্চ ইউজার রিপোজিটরি (AUR)-এর প্যাকেজ অ্যাডপশন ফিচারটি স্থগিত করেছে।
- কী করবেন
- বর্তমান AUR প্যাকেজ নির্ভরতাগুলো পর্যালোচনা ও পিন করুন এবং সম্প্রতি গৃহীত বা আপডেট করা থার্ড-পার্টি সফটওয়্যারের জন্য বিল্ড স্ক্রিপ্টগুলো নিরীক্ষা করুন।
মূল বিষয়গুলো
- CVE-2026-48449 এবং CVE-2026-48448 ত্রুটিগুলো সমাধান করার জন্য Adobe Campaign Classic-কে v7: 7.4.3 বিল্ড 9398 সংস্করণে প্যাচ করুন।
- ২০২৬ সালের ২৭শে জুলাই তারিখে Adform-এর trackpoint-async.js হোস্ট করা সাইটগুলো পরিদর্শনকারী ব্যবহারকারীদের তাদের ব্রাউজার ক্যাশ পরিষ্কার করতে এবং ওয়ালেট ঠিকানা যাচাই করতে নির্দেশ দিন।
- ব্যাপক ক্ষতিকারক প্যাকেজ দখলের কারণে আর্চ লিনাক্স AUR-এ প্যাকেজ গ্রহণ সাময়িকভাবে বন্ধ করে দিয়েছে।