मायक्रोसॉफ्ट गंभीर शेअरपॉईंट आरसीई असुरक्षिततेसाठी आपत्कालीन पॅच सोडते

नवी दिल्ली: मायक्रोसॉफ्टने ऑन-प्रिमाइसेस शेअरपॉईंट सर्व्हरमधील गंभीर रिमोट कोड एक्झिक्यूशन (आरसीई) असुरक्षा सोडविण्यासाठी तातडीची सुरक्षा निराकरणे जाहीर केली आहेत जी आधीपासूनच जंगलात वापरली जात आहे. हे सीव्हीई -2025-53770 म्हणून 9.8 च्या तीव्रतेच्या स्कोअरसह ट्रॅक केले जात आहे आणि हे आक्रमक डेटाच्या अपुरेपणामुळे प्रभावित सर्व्हरवर मनमानी कोड कार्यान्वित करण्यास अनुमती देते.

कंपनीने नमूद केले की विविध संस्थांना आधीच लक्ष्य केले गेले आहे आणि त्यामध्ये बँका, विद्यापीठे आणि सरकारी संस्था यांचा समावेश आहे. असे दिसते आहे की हे शोषण 18 जुलैपासून सुरू झाले. मायक्रोसॉफ्टने असा इशारा दिला आहे की ऑन-प्रिमाइसेस शेअरपॉईंट वापरकर्त्यांना सध्या धोका आहे आणि त्यांनी सुरक्षा अद्यतने, एएसपी.नेट मशीन की अद्यतनित करावी आणि सुरक्षित राहण्यासाठी आयआयएस सेवा पुन्हा सुरू करावीत.

दुसरा शेअरपॉईंट दोष प्रकट झाला

मायक्रोसॉफ्टने सीव्हीई -2025-53771 (सीव्हीएसएस 6.3) अंतर्गत ओळखले गेलेले दुसरे असुरक्षा देखील होती जी मार्ग सत्यापित करण्यात अयशस्वी झाल्यामुळे स्पूफिंग असुरक्षा म्हणून वैशिष्ट्यीकृत होते. सीव्हीई -2025-53770 आणि सीव्हीई -2025-53771 हे दोन्ही मागील बग (सीव्हीई -2025-49704 आणि सीव्हीई -2025-49706) शी जोडलेले आहेत जे आधीपासूनच टूलशेल नावाच्या साखळीमध्ये वापरल्या गेल्या आहेत. मायक्रोसॉफ्टच्या मते, नवीन पॅचेस मागीलपेक्षा अधिक संरक्षणात्मक आहेत.

प्रभावित केवळ शेअरपॉईंट सर्व्हर आहेत जे ऑन-प्रिमाइसेस आहेत. मायक्रोसॉफ्ट 365 मधील शेअरपॉईंट ऑनलाईन सुरक्षित आहे. त्याची निराकरणे समर्थित आवृत्त्यांवर लागू आहेत, जसे की शेअरपॉईंट सर्व्हर २०१ ,, २०१, आणि सदस्यता आवृत्ती. मायक्रोसॉफ्टने शिफारस केली आहे की, अद्यतनानंतर, एएमएसआय पूर्ण मोडमध्ये सक्रिय करणे, डिफेंडर सारख्या अँटीव्हायरस स्थापित करणे आणि क्रिप्टोग्राफिक की फिरविणे आवश्यक आहे.

सीआयएसए केव्ह कॅटलॉगमध्ये जोडते

सीव्हीई -2025-53770 यूएस सायबरसुरिटी आणि इन्फ्रास्ट्रक्चर सिक्युरिटी एजन्सी (सीआयएसए) द्वारे त्याच्या ज्ञात शोषित असुरक्षितता कॅटलॉगमध्ये सूचीबद्ध केले गेले होते आणि 21 जुलै पर्यंत फेडरल एजन्सीजना पॅच करणे आवश्यक आहे. पालो अल्टो नेटवर्क युनिट 42 च्या मते, सायबरक्रिमिनल्स एमएफए आणि एसएसओमध्ये प्रवेश केल्यामुळे एव्हिंग एजिंग एजिंग एजिंग एजिंग एएसएस.

तज्ञांनी व्यापक तडजोडीच्या जोखमीचा इशारा दिला

सुरक्षा तज्ञ असे म्हणत आहेत की पॅचिंग पुरेसे नाही. त्यांचे शेअरपॉईंट सर्व्हर इंटरनेट-फेसिंग असल्यास संस्थांना तडजोडीचे स्थान घ्यावे लागेल. युनिट C२ सीटीओ मायकेल सिकोर्स्की यांनी इंटरनेटवर अनप्लगिंग शेअरपॉईंट म्हणून सर्वात सुरक्षित अल्प-मुदतीचे पाऊल म्हणून काढले जाणारी पहिली कारवाई वर्णन केली. शेअरपॉईंट उर्वरित कार्यालय आणि इतर मायक्रोसॉफ्ट सेवांमध्ये अत्यंत समाकलित असल्याने, उल्लंघन केल्यामुळे संपूर्ण नेटवर्कची तडजोड होऊ शकते.