BeyondTrust Remote Support کی خامی CVE-2026-102764 کا زیرو ڈے کے طور پر استحصال، CISA KEV کیٹلاگ میں شامل

BeyondTrust نے اپنی Remote Support پروڈکٹ، جو پہلے Bomgar کے نام سے جانی جاتی تھی، میں ایک سنگین خامی CVE-2026-102764 کا حل جاری کیا ہے، جو ورژن 26.2.3 اور اس سے پہلے کے ورژنز کو متاثر کرتی ہے۔ امریکی سائبر سکیورٹی اینڈ انفراسٹرکچر سکیورٹی ایجنسی (CISA) نے 16 اکتوبر کو اس خامی کو اپنے معلوم استحصال شدہ کمزوریوں (KEV) کے کیٹلاگ میں شامل کیا اور رہنمائی جاری کی جس میں خود میزبانی والے آلات چلانے والی تنظیموں پر فوری اقدام کرنے پر زور دیا گیا۔ Mandiant کے مطابق، مشتبہ طور پر چین سے منسلک ایک جاسوسی عنصر نے اگست کے آخر میں، عوامی انکشاف سے کافی پہلے، اس بگ کا زیرو ڈے کے طور پر استحصال کیا۔

Mandiant کے مطابق BeyondTrust نے 15 اکتوبر کو اس مسئلے کا انکشاف کیا۔ The Hacker News نے، جس نے CVSS اسکور 9.3 رپورٹ کیا، وینڈر کا یہ بیان نقل کیا کہ Remote Support کے اندرونی اجزاء آنے والے پیغامات کے ماخذ کی درست جانچ نہیں کرتے تھے، جس سے بعض حالات میں آلے پر فائل آپریشنز ممکن ہو سکتے تھے۔ CISA اس خامی کو تصدیق کو بائی پاس کرنے کی خامی قرار دیتی ہے، جبکہ Mandiant نے کہا کہ غیر مصدقہ ریموٹ حملہ آور اسے فائلوں میں ہیرا پھیری کے لیے استعمال کر سکتا ہے، اور ممکنہ طور پر ہوسٹ کی سطح کا کنٹرول حاصل کر کے ان تمام اسناد تک پہنچ سکتا ہے جو آلہ محفوظ یا فراہم کرتا ہے۔ حل ایڈوائزری BT26-05 کے تحت پیچ BT26-05-RS ہے۔ Mandiant نے کہا کہ BeyondTrust نے 9 اکتوبر کو اسے تمام SaaS ٹیننٹس پر لاگو کر دیا، لہٰذا ہوسٹڈ صارفین کو آلے کی اپ ڈیٹ کی ضرورت نہیں، اگرچہ اسناد اور کنفیگریشن کا جائزہ پھر بھی ضروری ہے۔ ورژن 24.3.1 یا بعد کے خود میزبانی والے نظاموں کو پیچ انسٹال کرنا ہوگا یا خودکار اپ ڈیٹس کے ذریعے اس کی تصدیق کرنی ہوگی، جبکہ پرانے ریلیزز کو پہلے کسی معاون ورژن پر اپ گریڈ کرنا ہوگا؛ Mandiant نے نشاندہی کی کہ اپ گریڈ سے ماضی میں خطرے کی زد میں رہنے کا ازالہ نہیں ہوتا۔

Mandiant نے کہا کہ اس نے یہ سرگرمی ایک انسیڈنٹ رسپانس کارروائی کے دوران دریافت کی، اور GTIG اسے ARMORY CASTLE سے منسوب کرتا ہے، جو ایک گروپ ہے جسے پہلے UNC5221 کے نام سے ٹریک کیا جاتا تھا۔ استحصال کے بعد اس عنصر نے ایک مبہم PHP ویب شیل نصب کیا جسے Mandiant نے SAWFLY کا نام دیا ہے، SUID اجازتوں کے ساتھ سسٹم شیل کی نقل بنا کر root رسائی حاصل کی، BeyondTrust کے ایک بلٹ اِن کمانڈ لائن ٹول کے ذریعے محفوظ اسناد نکالنے کی کوشش کی، اور ایک اسٹارٹ اپ اسکرپٹ شامل کیا جس نے sudoers ٹیمپلیٹ میں تبدیلی کی تاکہ غیر محدود root رسائی ری بوٹ اور کنفیگریشن ری سیٹ کے بعد بھی برقرار رہے۔ Mandiant نے BARECLAW نامی ایک مخصوص SOCKS5 ٹنلر کی بھی وضاحت کی، جسے آلے کی HAProxy کنفیگریشن میں ترامیم کے ذریعے انٹرنیٹ سے قابل رسائی بنایا گیا، نیز بار بار لاگز حذف کیے جانے اور ایک ایڈمنسٹریٹر اکاؤنٹ کے غلط استعمال کی، جس کی Jump Item اجازتیں بڑھائی گئیں تاکہ یہ عنصر اندرونی اینڈ پوائنٹس تک ریموٹ سیشنز کھول سکے اور سافٹ ویئر انوینٹریز جیسی دستاویزات نقل کر سکے۔

پیچ لگانے کے علاوہ، CISA نے مشورہ دیا کہ Remote Support آلات کی بیرونی رسائی کو ضروری خدمات تک محدود رکھا جائے، انتظامی انٹرفیسز کو قابل اعتماد نیٹ ورکس پر رکھا جائے، اور نیٹ ورک اور میموری کا فرانزک تجزیہ کیا جائے۔ جہاں دراندازی کا شبہ ہو، ایجنسی سفارش کرتی ہے کہ آلے کو الگ تھلگ کیا جائے، اس کا اسنیپ شاٹ یا فرانزک امیج محفوظ کیا جائے، لاگز SIEM کو بھیجے جائیں، اور غیر مانوس مراعات یافتہ سیشنز، اسکرپٹس یا لاگنگ میں خلا تلاش کیے جائیں۔ اس کے بعد وہ ایک معلوم درست حالت سے دوبارہ تعمیر، پیچ لگانے، آلے میں موجود ہر سند کو تبدیل کرنے، فعال سپورٹ سیشنز منسوخ کرنے اور مراعات یافتہ اکاؤنٹس پر MFA کی نئی رجسٹریشنز کی جانچ کا مطالبہ کرتی ہے۔ The Hacker News نے رپورٹ کیا کہ وفاقی سویلین اداروں کے پاس ازالے کے لیے 19 اکتوبر تک کا وقت ہے، اور کینیڈا کے سائبر سینٹر نے بھی اس خامی پر ایک ایڈوائزری جاری کی ہے۔

The Hacker News کے مطابق، BeyondTrust کی ایک ٹائم لائن سے ظاہر ہوتا ہے کہ ایک خود میزبانی والے آلے کا زیرو ڈے استحصال 29 اگست سے شروع ہوا، اور وینڈر نے 27 ستمبر کو سکیورٹی آلات فراہم کرنے والی ایک اور کمپنی میں دراندازی منظر عام پر آنے کے بعد اسی طرح کی سرگرمی کی تلاش شروع کی۔ GTIG نے کہا کہ ARMORY CASTLE کم از کم اکتوبر 2023 سے سرگرم ہے اور ماضی میں ایج آلات کا استحصال کر چکا ہے۔ Mandiant نے خبردار کیا کہ یہ گروپ تاریخی طور پر کسی خامی کے انکشاف کے بعد وسیع اور موقع پرستانہ استحصال کی طرف بڑھتا رہا ہے، جیسا کہ 2024 میں Ivanti کی خامیوں CVE-2023-46805 اور CVE-2024-21887 کے بعد دیکھا گیا، اور کہا کہ استحصال کی مدت کے دوران انٹرنیٹ پر کھلے کسی بھی کمزور آلے کو “جائزہ لیے جانے تک ممکنہ طور پر متاثرہ سمجھا جانا چاہیے”۔