BeyondTrust Remote Support-এর ত্রুটি CVE-2026-102764 জিরো-ডে হিসেবে অপব্যবহৃত, CISA KEV তালিকায় যুক্ত

BeyondTrust তাদের Remote Support পণ্যে, যা আগে Bomgar নামে পরিচিত ছিল, একটি গুরুতর দুর্বলতা CVE-2026-102764-এর সমাধান প্রকাশ করেছে; এটি 26.2.3 ও তার আগের সংস্করণগুলোকে প্রভাবিত করে। মার্কিন সাইবার নিরাপত্তা ও অবকাঠামো নিরাপত্তা সংস্থা (CISA) 16 অক্টোবর ত্রুটিটিকে তাদের পরিচিত অপব্যবহৃত দুর্বলতা (KEV) তালিকায় যুক্ত করে এবং নির্দেশিকা প্রকাশ করে সেলফ-হোস্টেড অ্যাপ্লায়েন্স পরিচালনাকারী প্রতিষ্ঠানগুলোকে অবিলম্বে পদক্ষেপ নেওয়ার আহ্বান জানায়। Mandiant-এর মতে, চীন-সংশ্লিষ্ট একটি সন্দেহভাজন গুপ্তচরবৃত্তি গোষ্ঠী প্রকাশ্য ঘোষণার অনেক আগে, আগস্টের শেষ দিকে, জিরো-ডে হিসেবে বাগটির অপব্যবহার করে।

Mandiant-এর মতে, BeyondTrust 15 অক্টোবর সমস্যাটি প্রকাশ করে। The Hacker News, যারা CVSS স্কোর 9.3 বলে জানিয়েছে, বিক্রেতাকে উদ্ধৃত করে বলেছে যে Remote Support-এর অভ্যন্তরীণ উপাদানগুলো আগত বার্তা কোথা থেকে এসেছে তা ঠিকভাবে যাচাই করত না, যা নির্দিষ্ট কিছু পরিস্থিতিতে অ্যাপ্লায়েন্সে ফাইল অপারেশনের সুযোগ দিতে পারত। CISA ত্রুটিটিকে প্রমাণীকরণ বাইপাস হিসেবে বর্ণনা করে, আর Mandiant বলেছে যে প্রমাণীকরণহীন একজন দূরবর্তী আক্রমণকারী এটি ব্যবহার করে ফাইল পরিবর্তন করতে পারে, যার ফলে সম্ভাব্যভাবে হোস্ট-স্তরের নিয়ন্ত্রণ এবং ডিভাইসটি যত ক্রেডেনশিয়াল সংরক্ষণ বা পরিচালনা করে সেগুলোর নাগাল পাওয়া যেতে পারে। সমাধানটি হলো BT26-05 পরামর্শের অধীনে প্যাচ BT26-05-RS। Mandiant বলেছে, BeyondTrust 9 অক্টোবর সব SaaS টেন্যান্টে এটি প্রয়োগ করেছে, তাই হোস্টেড গ্রাহকদের অ্যাপ্লায়েন্স আপডেটের প্রয়োজন নেই, তবে ক্রেডেনশিয়াল ও কনফিগারেশন পর্যালোচনা তবুও প্রযোজ্য। 24.3.1 বা পরবর্তী সংস্করণের সেলফ-হোস্টেড সিস্টেমে প্যাচটি ইনস্টল করতে হবে, বা স্বয়ংক্রিয় আপডেটের মাধ্যমে তা নিশ্চিত করতে হবে, আর পুরোনো রিলিজগুলোকে প্রথমে কোনো সমর্থিত সংস্করণে আপগ্রেড করতে হবে; Mandiant উল্লেখ করেছে যে আপগ্রেড করলে আগের ঝুঁকির প্রতিকার হয় না।

Mandiant জানিয়েছে, একটি ঘটনা প্রতিক্রিয়া কার্যক্রমের সময় তারা এই কার্যকলাপ উদ্ঘাটন করে, এবং GTIG এর জন্য ARMORY CASTLE-কে দায়ী করে, যে গোষ্ঠীটিকে আগে UNC5221 নামে ট্র্যাক করা হতো। অপব্যবহারের পর হামলাকারী একটি অস্পষ্ট করা PHP ওয়েব শেল স্থাপন করে, যাকে Mandiant SAWFLY বলে; SUID অনুমতিসহ সিস্টেম শেলের একটি কপি তৈরি করে রুট অ্যাক্সেস পায়; BeyondTrust-এর একটি অন্তর্নির্মিত কমান্ড-লাইন টুল দিয়ে সংরক্ষিত ক্রেডেনশিয়াল বের করার চেষ্টা করে; এবং একটি স্টার্টআপ স্ক্রিপ্ট যোগ করে, যা sudoers টেমপ্লেট বদলে দেয় যাতে রিবুট ও কনফিগারেশন রিসেটের পরও সীমাহীন রুট অ্যাক্সেস টিকে থাকে। Mandiant আরও বর্ণনা করেছে BARECLAW নামের একটি কাস্টম SOCKS5 টানেলার, যা অ্যাপ্লায়েন্সের HAProxy কনফিগারেশনে পরিবর্তন করে ইন্টারনেট থেকে পৌঁছানোর উপযোগী করা হয়েছিল, বারবার লগ মুছে ফেলা, এবং একটি প্রশাসক অ্যাকাউন্টের অপব্যবহার, যার Jump Item অনুমতি বাড়ানো হয়েছিল যাতে হামলাকারী অভ্যন্তরীণ এন্ডপয়েন্টে দূরবর্তী সেশন খুলতে এবং সফটওয়্যার ইনভেন্টরির মতো নথি কপি করতে পারে।

প্যাচ প্রয়োগের পাশাপাশি CISA পরামর্শ দিয়েছে Remote Support অ্যাপ্লায়েন্সের বাহ্যিক উন্মুক্ততা প্রয়োজনীয় পরিষেবায় সীমিত রাখতে, প্রশাসনিক ইন্টারফেস বিশ্বস্ত নেটওয়ার্কে রাখতে এবং নেটওয়ার্ক ও মেমরি ফরেনসিক চালাতে। যেখানে আপসের সন্দেহ রয়েছে, সেখানে সংস্থাটি অ্যাপ্লায়েন্স বিচ্ছিন্ন করা, একটি স্ন্যাপশট বা ফরেনসিক ইমেজ সংরক্ষণ করা, লগ SIEM-এ পাঠানো এবং অপরিচিত বিশেষাধিকারপ্রাপ্ত সেশন, স্ক্রিপ্ট বা লগিংয়ের ফাঁক খোঁজার সুপারিশ করে। এরপর এটি একটি জ্ঞাত-নিরাপদ অবস্থা থেকে পুনর্গঠন, প্যাচ প্রয়োগ, ডিভাইসে থাকা প্রতিটি ক্রেডেনশিয়াল পরিবর্তন, সক্রিয় সাপোর্ট সেশন বাতিল এবং বিশেষাধিকারপ্রাপ্ত অ্যাকাউন্টে নতুন MFA নিবন্ধন যাচাইয়ের আহ্বান জানায়। The Hacker News জানিয়েছে, ফেডারেল বেসামরিক সংস্থাগুলোর প্রতিকারের জন্য 19 অক্টোবর পর্যন্ত সময় আছে, এবং কানাডার সাইবার সেন্টারও এই ত্রুটি নিয়ে একটি পরামর্শ জারি করেছে।

The Hacker News-এর মতে, BeyondTrust-এর একটি সময়রেখা ইঙ্গিত দেয় যে একটি সেলফ-হোস্টেড অ্যাপ্লায়েন্সের জিরো-ডে অপব্যবহার 29 আগস্টের, এবং 27 সেপ্টেম্বর অন্য একটি নিরাপত্তা ডিভাইস সরবরাহকারীর আপস প্রকাশ্যে আসার পর বিক্রেতা অনুরূপ কার্যকলাপের খোঁজ শুরু করে। GTIG বলেছে, ARMORY CASTLE অন্তত অক্টোবর 2023 থেকে সক্রিয় এবং এর আগেও এজ অ্যাপ্লায়েন্সের অপব্যবহার করেছে। Mandiant সতর্ক করেছে যে ঐতিহাসিকভাবে কোনো ত্রুটি প্রকাশের পর এই গোষ্ঠী ব্যাপক, সুযোগসন্ধানী অপব্যবহারের দিকে গেছে, যেমনটি 2024 সালে Ivanti-র ত্রুটি CVE-2023-46805 ও CVE-2024-21887-এর পর দেখা গিয়েছিল, এবং বলেছে যে অপব্যবহারের সময়কালে ইন্টারনেটে উন্মুক্ত যেকোনো দুর্বল অ্যাপ্লায়েন্সকে “পর্যালোচনা না হওয়া পর্যন্ত সম্ভাব্যভাবে আপসকৃত হিসেবে গণ্য করা উচিত”।