BeyondTrust Remote Support की खामी CVE-2026-102764 का ज़ीरो-डे के रूप में दुरुपयोग, CISA KEV कैटलॉग में शामिल

BeyondTrust ने अपने Remote Support उत्पाद, जिसे पहले Bomgar के नाम से जाना जाता था, की गंभीर खामी CVE-2026-102764 के लिए सुधार जारी किया है, जो संस्करण 26.2.3 और उससे पुराने संस्करणों को प्रभावित करती है। अमेरिकी साइबर सुरक्षा और इंफ्रास्ट्रक्चर सुरक्षा एजेंसी (CISA) ने 16 अक्टूबर को इस खामी को अपने ज्ञात दुरुपयोग वाली कमज़ोरियों (KEV) के कैटलॉग में जोड़ा और दिशानिर्देश प्रकाशित कर सेल्फ-होस्टेड उपकरण चलाने वाले संगठनों से तुरंत कार्रवाई करने का आग्रह किया। Mandiant के अनुसार, चीन से जुड़े एक संदिग्ध जासूसी समूह ने सार्वजनिक खुलासे से काफ़ी पहले, अगस्त के अंत में, ज़ीरो-डे के रूप में इस बग का फ़ायदा उठाया।

Mandiant के अनुसार, BeyondTrust ने 15 अक्टूबर को इस समस्या का खुलासा किया। The Hacker News ने, जिसने CVSS स्कोर 9.3 बताया, विक्रेता के हवाले से कहा कि Remote Support के आंतरिक घटक ठीक से नहीं जाँचते थे कि आने वाले संदेश कहाँ से आए हैं, जिससे कुछ परिस्थितियों में उपकरण पर फ़ाइल संचालन संभव हो सकता था। CISA इस खामी को प्रमाणीकरण बायपास बताती है, जबकि Mandiant ने कहा कि बिना प्रमाणीकरण वाला दूरस्थ हमलावर इसका उपयोग फ़ाइलों में हेरफेर के लिए कर सकता है, जिससे संभावित रूप से होस्ट-स्तरीय नियंत्रण और डिवाइस द्वारा संग्रहीत या प्रबंधित सभी क्रेडेंशियल्स तक पहुँच मिल सकती है। सुधार एडवाइज़री BT26-05 के तहत पैच BT26-05-RS है। Mandiant ने कहा कि BeyondTrust ने 9 अक्टूबर को इसे सभी SaaS टेनेंट्स पर लागू कर दिया, इसलिए होस्टेड ग्राहकों को उपकरण अपडेट की ज़रूरत नहीं है, हालाँकि क्रेडेंशियल और कॉन्फ़िगरेशन की समीक्षा फिर भी लागू होती है। संस्करण 24.3.1 या उसके बाद वाले सेल्फ-होस्टेड सिस्टम पर पैच इंस्टॉल करना, या स्वचालित अपडेट के ज़रिए इसकी पुष्टि करना ज़रूरी है, जबकि पुराने रिलीज़ को पहले किसी समर्थित संस्करण में अपग्रेड करना होगा; Mandiant ने ध्यान दिलाया कि अपग्रेड करने से पहले हुए जोखिम का निवारण नहीं होता।

Mandiant ने कहा कि उसने एक घटना प्रतिक्रिया अभियान के दौरान इस गतिविधि का पता लगाया, और GTIG इसका श्रेय ARMORY CASTLE को देता है, जिसे पहले UNC5221 के रूप में ट्रैक किया जाता था। दुरुपयोग के बाद, हमलावर ने एक अस्पष्ट किया गया PHP वेब शेल लगाया जिसे Mandiant SAWFLY कहता है, SUID अनुमतियों के साथ सिस्टम शेल की प्रति बनाकर रूट पहुँच हासिल की, BeyondTrust के एक अंतर्निहित कमांड-लाइन टूल से संग्रहीत क्रेडेंशियल्स निकालने की कोशिश की, और एक स्टार्टअप स्क्रिप्ट जोड़ी जिसने sudoers टेम्पलेट को बदल दिया ताकि अप्रतिबंधित रूट पहुँच रीबूट और कॉन्फ़िगरेशन रीसेट के बाद भी बनी रहे। Mandiant ने BARECLAW नामक एक कस्टम SOCKS5 टनलर का भी वर्णन किया, जिसे उपकरण के HAProxy कॉन्फ़िगरेशन में बदलाव करके इंटरनेट से पहुँच योग्य बनाया गया था, साथ ही बार-बार लॉग हटाने और एक प्रशासक खाते के दुरुपयोग का भी, जिसकी Jump Item अनुमतियाँ बढ़ा दी गई थीं ताकि हमलावर आंतरिक एंडपॉइंट्स के साथ दूरस्थ सत्र खोल सके और सॉफ़्टवेयर इन्वेंटरी जैसे दस्तावेज़ कॉपी कर सके।

पैच लगाने के अलावा, CISA ने सलाह दी कि Remote Support उपकरणों का बाहरी एक्सपोज़र केवल आवश्यक सेवाओं तक सीमित रखा जाए, प्रशासनिक इंटरफ़ेस विश्वसनीय नेटवर्क पर रखे जाएँ और नेटवर्क व मेमोरी फ़ोरेंसिक्स किए जाएँ। जहाँ सेंधमारी का संदेह हो, वहाँ एजेंसी उपकरण को अलग करने, स्नैपशॉट या फ़ोरेंसिक इमेज सुरक्षित रखने, लॉग को SIEM पर भेजने और अपरिचित विशेषाधिकार प्राप्त सत्रों, स्क्रिप्ट या लॉगिंग में अंतरालों की खोज करने की सिफ़ारिश करती है। इसके बाद वह एक ज्ञात-सुरक्षित स्थिति से पुनर्निर्माण, पैच लगाने, डिवाइस में रखे हर क्रेडेंशियल को बदलने, सक्रिय सपोर्ट सत्र रद्द करने और विशेषाधिकार प्राप्त खातों पर नए MFA पंजीकरणों की जाँच करने का आह्वान करती है। The Hacker News ने बताया कि संघीय नागरिक एजेंसियों के पास सुधार के लिए 19 अक्टूबर तक का समय है, और कनाडा के साइबर सेंटर ने भी इस खामी पर एक एडवाइज़री जारी की है।

The Hacker News के अनुसार, BeyondTrust की एक समयरेखा से संकेत मिलता है कि एक सेल्फ-होस्टेड उपकरण का ज़ीरो-डे दुरुपयोग 29 अगस्त का है, और विक्रेता ने 27 सितंबर को एक अन्य सुरक्षा उपकरण प्रदाता में सेंधमारी सार्वजनिक होने के बाद इसी तरह की गतिविधि की खोज शुरू की। GTIG ने कहा कि ARMORY CASTLE कम से कम अक्टूबर 2023 से सक्रिय है और पहले भी एज उपकरणों का दुरुपयोग कर चुका है। Mandiant ने चेतावनी दी कि यह समूह ऐतिहासिक रूप से किसी खामी के सार्वजनिक होते ही व्यापक, अवसरवादी दुरुपयोग की ओर बढ़ता रहा है, जैसा कि 2024 में Ivanti की खामियों CVE-2023-46805 और CVE-2024-21887 के बाद देखा गया, और कहा कि दुरुपयोग की अवधि के दौरान इंटरनेट पर उजागर किसी भी कमज़ोर उपकरण को “समीक्षा होने तक संभावित रूप से सेंधमारी का शिकार माना जाना चाहिए”।