দৈনিক ব্রিফিং
আইভ্যান্টি কানেক্ট সিকিওর জিরো-ডে হিসেবে ব্যবহৃত হচ্ছে এবং কার্ল HTTP/2 কোড এক্সিকিউশনের ত্রুটি প্যাচ করেছে।
আজকের ব্রিফিংয়ে সক্রিয়ভাবে ব্যবহৃত একটি ইভান্টি জিরো-ডে, কার্ল (curl)-এ একটি উচ্চ-গুরুত্বপূর্ণ HTTP/2 মেমরি করাপশন ফিক্স এবং ডিপফেক সোশ্যাল ইঞ্জিনিয়ারিং অনুশীলনের কৌশল নিয়ে আলোচনা করা হয়েছে।
5টি খবর2 মিনিটের পাঠ
একই সময়ে, ক্লায়েন্ট-সাইড কোড এক্সিকিউশনের ঝুঁকি মোকাবেলার জন্য গুরুত্বপূর্ণ ওপেন-সোর্স কম্পোনেন্টগুলো আউট-অফ-ব্যান্ড আপডেট প্রকাশ করছে। নিরাপত্তা দলগুলোর উচিত অভ্যন্তরীণ অ্যাপ্লিকেশন এবং ডেভেলপার এনভায়রনমেন্টে ঝুঁকিপূর্ণ লাইব্রেরি ডিপেন্ডেন্সি নিরীক্ষা করার আগে এজ অ্যাপ্লায়েন্সগুলোতে প্যাচিংকে অগ্রাধিকার দেওয়া।
হানিপটে ১০৫টি এক্সপ্লয়েট চেষ্টার ঘটনা শনাক্ত হওয়ায় CISA অবিলম্বে Ivanti Connect Secure আপডেট করার আহ্বান জানিয়েছে।
সক্রিয়ভাবে ব্যবহৃত জিরো-ডে দুর্বলতা CVE-2026-104935 (CVSS 8.6) তাদের KEV ক্যাটালগে যুক্ত হওয়ার পর CISA, Ivanti Connect Secure (ICS) অ্যাপ্লায়েন্সগুলোর জন্য অবিলম্বে আপডেটের আহ্বান জানিয়েছে। এই ত্রুটিটি দূরবর্তী প্রমাণীকরণবিহীন আক্রমণকারীদেরকে যথেচ্ছ কমান্ড কার্যকর করার সুযোগ দেয়, যার ফলে ক্রেডেনশিয়াল চুরি এবং ডেটা পাচারের মতো ঘটনা ঘটে।
- কেন এটি গুরুত্বপূর্ণ
- যেসব প্রতিষ্ঠান ক্ষতিগ্রস্ত Ivanti Connect Secure অ্যাপ্লায়েন্স ব্যবহার করছে, তারা সক্রিয় অপব্যবহারের মাধ্যমে প্রমাণীকরণবিহীন রিমোট কোড এক্সিকিউশন, ক্রেডেনশিয়াল চুরি এবং ডেটা হারানোর তাৎক্ষণিক ঝুঁকিতে রয়েছে।
ক্লায়েন্ট-সাইড কোড এক্সিকিউশন প্রদর্শনের PoC-এর পর curl HTTP/2 আপলোডের ত্রুটি সংশোধন করেছে।
কার্ল প্রজেক্ট CVE-2026-92392 ত্রুটিটি সমাধান করার জন্য সংস্করণ 8.23.0 প্রকাশ করেছে। এটি HTTP/2 আপলোডের একটি গুরুতর 'use-after-free' দুর্বলতা, যা কার্ল এবং লিবকার্ল-এর 8.12.0 থেকে 8.22.0 সংস্করণ পর্যন্ত প্রভাবিত করে। একটি ক্ষতিকারক HTTP/2 সার্ভার ক্লায়েন্টের মেমরি নষ্ট করে দিতে পারে, যার ফলে ক্লায়েন্ট-সাইডে যথেচ্ছ কোড কার্যকর করা বা অ্যাপ্লিকেশন ক্র্যাশ হতে পারে।
- কী করবেন
- curl এবং libcurl ইনস্টলেশনগুলো সংস্করণ 8.23.0 বা তার পরবর্তী সংস্করণে আপডেট করুন।
আপনার টিমে ক্লোন করা কোনো কণ্ঠস্বর কল করার আগে কীভাবে ডিপফেক প্রতিরোধের মহড়া চালাবেন
নিরাপত্তা সংক্রান্ত সুপারিশগুলোতে পেমেন্ট প্রসেসিং, হেল্প ডেস্ক এমএফএ রিসেট এবং অ্যাকাউন্ট অ্যাক্সেসকে লক্ষ্য করে পরিচালিত ডিপফেক অডিও ও সিন্থেটিক ভিডিও আক্রমণের ক্রমবর্ধমান প্রবণতার ওপর আলোকপাত করা হয়েছে। প্রতিষ্ঠানগুলোকে পরিচয় যাচাই প্রক্রিয়ার বিভিন্ন স্তরে থাকা ফাঁকফোকর শনাক্ত করার জন্য সুসংগঠিত ডিপফেক প্রস্তুতিমূলক মহড়া পরিচালনা করার পরামর্শ দেওয়া হয়েছে।
- কেন এটি গুরুত্বপূর্ণ
- আক্রমণকারীরা মানুষের প্রমাণীকরণ পদ্ধতি এড়িয়ে যেতে ভয়েস ক্লোনিং এবং এআই ডিপফেক ব্যবহার করে, যার ফলে প্রতারণামূলক ওয়্যার ট্রান্সফার এবং অননুমোদিত বিশেষাধিকারপ্রাপ্ত অ্যাকাউন্ট তৈরির ঝুঁকি তৈরি হয়।
১ বিলিয়ন ফিশিং বার্তার নেপথ্যের নেটওয়ার্ককে বিশ্বব্যাপী নির্মূল করা হয়েছে।
বিশ্বজুড়ে আইন প্রয়োগকারী সংস্থা এবং তাদের সহযোগীরা ১৫০টি দেশের ৭৫,০০০-এরও বেশি সংস্থাকে লক্ষ্য করে এক বিলিয়নেরও বেশি ক্ষতিকর বার্তা প্রেরণে সহায়তাকারী একটি বিশাল সাইবার অপরাধী চক্রকে ভেঙে দিয়েছে।
- কেন এটি গুরুত্বপূর্ণ
- বট ব্যবস্থাপনা নিয়ন্ত্রণের কারণে বিশ্বব্যাপী ফিশিং কার্যক্রম বন্ধের বিষয়ে কোনো প্রযুক্তিগত বিবরণ পাওয়া সম্ভব হয়নি।
জিরো-ডে হিসেবে ব্যবহৃত ইভান্টির একটি ত্রুটি অবিলম্বে সমাধান করার জন্য সিআইএসএ অ্যাডমিনদের সতর্ক করেছে।
মার্কিন যুক্তরাষ্ট্র
মূল বিষয়গুলো
- জিরো-ডে অ্যাটাকে ব্যবহৃত CVE-2026-104935 অথেনটিকেশন বাইপাস ত্রুটিটি সংশোধন করতে অবিলম্বে Ivanti Connect Secure অ্যাপ্লায়েন্সগুলো প্যাচ করুন।
- HTTP/2 আপলোডকে প্রভাবিতকারী CVE-2026-92392 use-after-free দুর্বলতাটি সমাধান করতে curl এবং libcurl সংস্করণ 8.23.0-এ আপডেট করুন।
- গার্টনারের এক সমীক্ষা অনুযায়ী, ৬২% প্রতিষ্ঠান ১২ মাসের মধ্যে ডিপফেক আক্রমণের শিকার হওয়ার কথা জানিয়েছে।