بسم الله الرحمن الرحيم
السلام عليكم ورحمه الله وبركاته
في العام الماضي استغرق موظفي غوغل مبادرة لمساعدة الآلاف من مشاريع المصادر المفتوحة التصحيح الضعف بتنفيذ التعليمات البرمجية عن بعد حاسما في اباتشي العموم مجموعات مكتبة (ACC) المستخدمة على نطاق واسع.
يطلق عليها اسم عملية Rosehub، وقد تطوع في مبادرة من قبل بعض موظفي غوغل 50، الذي يستخدم 20 في المئة من وقت العمل لرأب الصدع أكثر من 2600 مشاريع مفتوحة المصدر على جيثب، كانت تلك عرضة لل"الضعف أداة جنون."
أداة الضعف جنون (CVE-2015-6420) هو خلل بتنفيذ التعليمات البرمجية عن بعد في إلغاء التسلسل استخدام جافا من قبل مجلس العموم مجموعات أباتشي (ACC) مكتبة التي قد تسمح لمهاجم بعيد غير مصادق لتنفيذ قانون تعسفي على النظام.
وقد نشرت المكتبة ACC على نطاق واسع من قبل العديد من تطبيقات جافا على فك رموز البيانات التي تم تمريرها بين أجهزة الكمبيوتر. لاستغلال هذا الخلل، كل مهاجم غير المصرح به يحتاج إلى القيام به هو تقديم مدخلات متطفل إلى التطبيق على نظام المستهدفة التي تستخدم مكتبة ACC.
وبمجرد أن المكتبة لجنة التنسيق الإدارية الضعيفة على النظام المتأثر deserializes المحتوى، يمكن للمهاجمين تنفيذ بعد تعليمات برمجية عشوائية على النظام للخطر، والتي يمكن أن تستخدم بعد ذلك لإجراء مزيد من الهجمات.
تذكر هجوم الفدية على نظام مترو موني؟ في أواخر العام الماضي، تمكن أحد القراصنة المجهولين لتصيب والاستيلاء على أكثر من 2000 أجهزة الكمبيوتر التي تستخدم نفس هذا عيب أداة جنون في البرمجيات المستخدمة لتشغيل نظام النقل العام في سان فرانسيسكو.
في أعقاب الكشف العلني عن الخلل جنون الأداة، تقريبا كل مؤسسة تجارية بما في ذلك أوراكل، وسيسكو، ريد هات، برنامج VMWare، آي بي إم، وإنتل، أدوبي، HP، جنكينز، وسولارويندز كشف رسميا أنها قد تتأثر هذه الثغرة، ومصححة في البرامج الخاصة بهم.
ومع ذلك، بعد بضعة أشهر مصححة جميع الشركات الكبيرة الخلل، واحدة من موظفي غوغل لاحظت أن العديد من المكتبات مفتوحة المصدر بارزة لا تزال اعتمادا على الإصدارات الضعيفة من مكتبة ACC.
"لقد أدركنا أن هذه الصناعة قد أفضل الممارسات فشلت. وهناك حاجة إلى اتخاذ إجراءات للحفاظ على مجتمع المصادر المفتوحة آمنة، لذلك بدلا من مجرد نشر استشارية الأمن يطلب من الجميع لمعالجة الضعف وشكلنا فريق عمل لتحديث كود نيابة عنهم. كانت تسمى تلك المبادرة عملية Rosehub "، كتب جوستين توني، مهندس برمجيات في TensorFlow، على جوجل المصدر المفتوح البلوغ.
في إطار عملية Rosehub، أرسلت بقع إلى العديد من المشاريع مفتوحة المصدر، على الرغم من أن موظفي غوغل كانت فقط قادرة على تصحيح المشاريع المفتوحة المصدر على جيثب أن الإشارة مباشرة الإصدارات الضعيفة من مكتبة ACC.
ووفقا لمدونة مفتوحة المصدر، إن أنظمة البرمجيات وكالة النقل البلدي في سان فرانسيسكو كانت مفتوحة المصدر، كان يمكن أن يكون مهندسي غوغل أيضا قادرة على تقديم بقع لجنون أداة لهم، وسوف ابدأ تم اختراق أنظمتها.
في العام الماضي استغرق موظفي غوغل مبادرة لمساعدة الآلاف من مشاريع المصادر المفتوحة التصحيح الضعف بتنفيذ التعليمات البرمجية عن بعد حاسما في اباتشي العموم مجموعات مكتبة (ACC) المستخدمة على نطاق واسع.
يطلق عليها اسم عملية Rosehub، وقد تطوع في مبادرة من قبل بعض موظفي غوغل 50، الذي يستخدم 20 في المئة من وقت العمل لرأب الصدع أكثر من 2600 مشاريع مفتوحة المصدر على جيثب، كانت تلك عرضة لل"الضعف أداة جنون."
أداة الضعف جنون (CVE-2015-6420) هو خلل بتنفيذ التعليمات البرمجية عن بعد في إلغاء التسلسل استخدام جافا من قبل مجلس العموم مجموعات أباتشي (ACC) مكتبة التي قد تسمح لمهاجم بعيد غير مصادق لتنفيذ قانون تعسفي على النظام.
وقد نشرت المكتبة ACC على نطاق واسع من قبل العديد من تطبيقات جافا على فك رموز البيانات التي تم تمريرها بين أجهزة الكمبيوتر. لاستغلال هذا الخلل، كل مهاجم غير المصرح به يحتاج إلى القيام به هو تقديم مدخلات متطفل إلى التطبيق على نظام المستهدفة التي تستخدم مكتبة ACC.
وبمجرد أن المكتبة لجنة التنسيق الإدارية الضعيفة على النظام المتأثر deserializes المحتوى، يمكن للمهاجمين تنفيذ بعد تعليمات برمجية عشوائية على النظام للخطر، والتي يمكن أن تستخدم بعد ذلك لإجراء مزيد من الهجمات.
تذكر هجوم الفدية على نظام مترو موني؟ في أواخر العام الماضي، تمكن أحد القراصنة المجهولين لتصيب والاستيلاء على أكثر من 2000 أجهزة الكمبيوتر التي تستخدم نفس هذا عيب أداة جنون في البرمجيات المستخدمة لتشغيل نظام النقل العام في سان فرانسيسكو.
في أعقاب الكشف العلني عن الخلل جنون الأداة، تقريبا كل مؤسسة تجارية بما في ذلك أوراكل، وسيسكو، ريد هات، برنامج VMWare، آي بي إم، وإنتل، أدوبي، HP، جنكينز، وسولارويندز كشف رسميا أنها قد تتأثر هذه الثغرة، ومصححة في البرامج الخاصة بهم.
ومع ذلك، بعد بضعة أشهر مصححة جميع الشركات الكبيرة الخلل، واحدة من موظفي غوغل لاحظت أن العديد من المكتبات مفتوحة المصدر بارزة لا تزال اعتمادا على الإصدارات الضعيفة من مكتبة ACC.
"لقد أدركنا أن هذه الصناعة قد أفضل الممارسات فشلت. وهناك حاجة إلى اتخاذ إجراءات للحفاظ على مجتمع المصادر المفتوحة آمنة، لذلك بدلا من مجرد نشر استشارية الأمن يطلب من الجميع لمعالجة الضعف وشكلنا فريق عمل لتحديث كود نيابة عنهم. كانت تسمى تلك المبادرة عملية Rosehub "، كتب جوستين توني، مهندس برمجيات في TensorFlow، على جوجل المصدر المفتوح البلوغ.
في إطار عملية Rosehub، أرسلت بقع إلى العديد من المشاريع مفتوحة المصدر، على الرغم من أن موظفي غوغل كانت فقط قادرة على تصحيح المشاريع المفتوحة المصدر على جيثب أن الإشارة مباشرة الإصدارات الضعيفة من مكتبة ACC.
ووفقا لمدونة مفتوحة المصدر، إن أنظمة البرمجيات وكالة النقل البلدي في سان فرانسيسكو كانت مفتوحة المصدر، كان يمكن أن يكون مهندسي غوغل أيضا قادرة على تقديم بقع لجنون أداة لهم، وسوف ابدأ تم اختراق أنظمتها.
أرجــوا مــن الله أن تــكـــون قـــد أســـتــفـــدت
أرجــوا مــن الله أن تــكـــون قـــد أســـتــفـــدت
و أرجوا أن أكون قد أستطعت توصيل المعلومه إليك
لاتنسى ترك تعليقك إذا واجهتك مشكله
أيضا لا تنسى الأعجاب لأن هذه الضغطه الصغيره تساوي تشجيعا كبيرا بالنسبه لي
لا تنسى مشاركه الموضوع كي يستفيد أصدقائك أيضا و لكي تفوز بزكاه العلم بدون تعب أو مشقه
أتركك فى رعايه الله
لا تنسى الاعجاب بالصفحه
لكي يصلك كل جديد
و أرجوا أن أكون قد أستطعت توصيل المعلومه إليك
لاتنسى ترك تعليقك إذا واجهتك مشكله
أيضا لا تنسى الأعجاب لأن هذه الضغطه الصغيره تساوي تشجيعا كبيرا بالنسبه لي
لا تنسى مشاركه الموضوع كي يستفيد أصدقائك أيضا و لكي تفوز بزكاه العلم بدون تعب أو مشقه
أتركك فى رعايه الله
لا تنسى الاعجاب بالصفحه
لكي يصلك كل جديد
المشاركات
0 التعليقات:
إرسال تعليق