দৈনিক ব্রিফিং
মেটাবেস জিরো-ডে এক্সপ্লয়েটেড, এন-এবল হটফিক্স ২ প্রকাশ করেছে, কেম্প লোডমাস্টার KEV-কে প্রভাবিত করেছে
আজকের ব্রিফিংয়ে মেটাবেসে সক্রিয় জিরো-ডে এক্সপ্লয়টেশন, এন-এবল এন-সেন্ট্রালের জন্য গুরুত্বপূর্ণ হটফিক্স, প্রোগ্রেস কেম্পের জন্য সিআইএসএ কেভ সংযোজন এবং অ্যাটলাসিয়ান রোভো ও ওয়েবমেইলের সিএসএস ত্রুটি নিয়ে গবেষণা অন্তর্ভুক্ত রয়েছে।
5টি খবর2 মিনিটের পাঠ
বর্তমানে এন্টারপ্রাইজ সফটওয়্যার পরিকাঠামো ব্যাপক লক্ষ্যবস্তুভিত্তিক আক্রমণের শিকার হচ্ছে, এবং একাধিক প্রশাসনিক টুল ও ম্যানেজমেন্ট প্ল্যাটফর্মে এর সক্রিয় অপব্যবহারের খবর পাওয়া গেছে। প্রমাণীকরণবিহীন আক্রমণকারীরা সম্পূর্ণ প্রশাসনিক সুবিধা অর্জন করতে এবং সংরক্ষিত ডেটাবেস ক্রেডেনশিয়াল বের করে নিতে সেলফ-হোস্টেড মেটাবেস ইনস্ট্যান্সগুলোতে থাকা সর্বোচ্চ-গুরুত্বপূর্ণ একটি জিরো-ডে ত্রুটি সক্রিয়ভাবে কাজে লাগাচ্ছে।
মেটাবেসের একটি জিরো-ডে ত্রুটি বাস্তব ক্ষেত্রে কাজে লাগানো হয়েছে, যা প্রমাণীকরণ ছাড়াই অ্যাডমিন অ্যাক্সেসের সুযোগ করে দেয়।
মেটাবেস সতর্ক করেছে যে, x.58.0 এবং তার উপরের সংস্করণগুলোকে প্রভাবিত করা একটি প্রমাণীকরণবিহীন SQL ইনজেকশন জিরো-ডে ত্রুটি বাস্তবে কাজে লাগানো হয়েছে। এই দুর্বলতার সুযোগ নিয়ে দূরবর্তী আক্রমণকারীরা অ্যাডমিনিস্ট্রেটর অ্যাক্সেস লাভ করতে, কনফিগারেশন পরিবর্তন করতে এবং সংরক্ষিত ডেটাবেস ক্রেডেনশিয়াল চুরি করতে পারে।
- কেন এটি গুরুত্বপূর্ণ
- সেলফ-হোস্টেড মেটাবেস ইনস্ট্যান্সগুলো সম্পূর্ণভাবে হ্যাক হওয়ার ঝুঁকিতে থাকে, যার ফলে অননুমোদিত ব্যবহারকারীরা সংবেদনশীল ব্যবসায়িক ডেটা এক্সপোর্ট করতে এবং এর সাথে সংযুক্ত ডেটাবেসগুলোর নিরাপত্তা বিঘ্নিত করতে পারে।
- কী করবেন
- সকল সেলফ-হোস্টেড ডেপ্লয়মেন্টের জন্য অবিলম্বে সর্বশেষ মেটাবেস নিরাপত্তা প্যাচগুলো প্রয়োগ করুন।
৭৯২টি এক্সপ্লয়েট চেষ্টার রিপোর্টের পর প্রোগ্রেস কেম্প লোডমাস্টার ত্রুটিটি CISA KEV-তে আঘাত হেনেছে।
সক্রিয় এক্সপ্লয়টেশন প্রচেষ্টার পর CISA তাদের Known Exploited Vulnerabilities ক্যাটালগে CVE-2026-8037 যুক্ত করেছে। Progress Kemp LoadMaster-এর এই গুরুতর কমান্ড ইনজেকশন ত্রুটিটি প্রমাণীকরণবিহীন দূরবর্তী আক্রমণকারীদের অপরিশোধিত ইনপুট এন্ডপয়েন্টের মাধ্যমে যথেচ্ছ কমান্ড কার্যকর করার সুযোগ দেয়।
- কী করবেন
- Progress Kemp LoadMaster ডিভাইসগুলোকে অবিলম্বে সর্বশেষ প্যাচ করা ফার্মওয়্যার সংস্করণে আপডেট করুন।
অ্যাটলাসিয়ান রোভোকে ধোঁকা দিয়ে আক্রমণকারীদের কাছে জিরা এবং কনফ্লুয়েন্সের ডেটা পাঠাতে বাধ্য করা যেতে পারে।
আক্রমণকারী-নিয়ন্ত্রিত নির্দেশাবলীর মাধ্যমে অ্যাটলাসিয়ানের রোভো অ্যাসিস্ট্যান্ট সাইন-ইন করা ব্যবহারকারীর অ্যাক্সেসযোগ্য জিরা বা কনফ্লুয়েন্স ডেটা সংগ্রহ করে একটি বাইরের সার্ভারে পাঠাতে পারে।
- কেন এটি গুরুত্বপূর্ণ
- যেসব প্রতিষ্ঠান অ্যাটলাসিয়ান রোভো ব্যবহার করে, তাদের ব্যবহারকারীরা যদি এআই অ্যাসিস্ট্যান্ট দ্বারা প্রক্রিয়াকৃত কোনো ক্ষতিকারক লিঙ্ক বা ফাইল খোলে, তাহলে তাদের সংবেদনশীল অভ্যন্তরীণ জিরা এবং কনফ্লুয়েন্স ডেটা ফাঁস হওয়ার ঝুঁকি থাকে।
নতুন CSS আক্রমণ ওয়েবমেইলের প্রতিরক্ষা ব্যবস্থা ভেদ করে পাসওয়ার্ড ও টোকেন চুরি করতে পারে।
পোর্টসুইগারের গবেষণায় আউটলুক, জিমেইল, ফাস্টমেইল এবং ইয়াহু মেইল সহ বিভিন্ন ওয়েবমেইল পরিষেবা জুড়ে সিএসএস-ভিত্তিক আক্রমণ কৌশল তুলে ধরা হয়েছে। ইমেইলের ভেতরে থাকা ক্ষতিকর সিএসএস বার্তার সীমানা অতিক্রম করে পাসওয়ার্ড হাতিয়ে নিতে, ইউজার ইন্টারফেসের কার্যকলাপ হাইজ্যাক করতে এবং তৃতীয় পক্ষের অ্যাক্সেস টোকেন পাচার করতে পারে।
- কেন এটি গুরুত্বপূর্ণ
- ঝুঁকিপূর্ণ ওয়েবমেইল ইন্টারফেসে অবিশ্বস্ত এইচটিএমএল ইমেইল দেখার সময় ওয়েবমেইল ব্যবহারকারীরা ক্রেডেনশিয়াল চুরি, অ্যাকাউন্ট দখল এবং টোকেন ফাঁসের সম্মুখীন হন।
আক্রমণকারীরা পরিচালিত সিস্টেমে পৌঁছে যাওয়ায় এবং তাদের কার্যকলাপ অব্যাহত থাকায় এন-এবল এন-সেন্ট্রাল হটফিক্স ২ প্রকাশ করেছে।
N-able, CVE-2026-18556-এর একটি অসম্পূর্ণ সমাধান CVE-2026-18577-এর সক্রিয় অপব্যবহার প্রতিরোধের জন্য N-central-এর জন্য হটফিক্স ২ প্রকাশ করেছে। আক্রমণকারীরা এই ত্রুটিটি কাজে লাগিয়ে অননুমোদিত অ্যাক্সেস লাভ করত এবং পরিচালিত সিস্টেমগুলিতে নিজেদের উপস্থিতি স্থায়ীভাবে বজায় রাখত।
মূল বিষয়গুলো
- অননুমোদিত SQL ইনজেকশন এবং সম্পূর্ণ প্রশাসনিক নিরাপত্তা লঙ্ঘনের বিরুদ্ধে সুরক্ষার জন্য সেলফ-হোস্টেড মেটাবেস ইনস্ট্যান্সগুলোকে অবিলম্বে প্যাচ করুন।
- CVE-2026-18577-এর চলমান অপব্যবহার প্রশমিত করতে N-able N-central হটফিক্স ২ প্রয়োগ করুন, এমনকি যদি পূর্বে হটফিক্স ১ ইনস্টল করা হয়ে থাকে।