د سولر وینډز ​​برید کونکو اداره کړې چې د مایکروسافټ کوډ ته لاسرسی ومومي

مایکروسافټ نور جزیات خپاره کړل د برید په اړه چې د سولر وینډز کوم چې د سولر وینډز ​​اورین شبکې زیربنا مدیریت پلیټ فارم کې بیک بیک پلي کړ ، کوم چې د مایکروسافټ په کارپوریټ شبکه کې کارول شوی و.

د پیښې تحلیل په ډاګه کړه برید کونکو ځینو مایکروسافټ کارپوریټ حسابونو ته لاسرسی وموند او د تفتیش په جریان کې ، څرګنده شوه چې دا حسابونه د مایکروسافټ محصول کوډ سره داخلي زیرمو ته د لاسرسي لپاره کارول شوي.

دا تور دی چې د جوړجاړي حسابونو حقونه یوازې د کوډ لیدلو اجازه لري، مګر دوی د بدلونونو وړتیا نه وه چمتو کړې.

مایکروسافټ کاروونکو ته ډاډ ورکړی چې نور تایید یې تایید کړی چې په ذخیره کې هیڅ ناوړه بدلون نه دی راغلی.

همدارنګه، د مایکروسافټ پیرودونکو ډیټا ته د برید کونکو لاسرسي هیڅ نښه نه وه موندلې ، په نورو شرکتونو د برید ترسره کولو لپاره چمتو شوي خدماتو او د مایکروسافټ زیربناوو کارولو سره موافقت کولو هڅې.

وروسته له هغه چې په سولر وینډز ​​برید وشو د شاتنۍ پیژندنې لامل شو نه یوازې د مایکروسافټ شبکې ، بلکه په ډیری نورو شرکتونو او دولتي ادارو کې هم د سولر وینډز ​​اورین محصول کارول.

د سولر وینډز ​​اوریین بیکډور تازه د 17.000،XNUMX څخه ډیرو پیرودونکو زیربنا کې نصب شوی د سولر وینډز ​​څخه ، د فارچون 425 اغیزمن شوي 500 500 په شمول لوی مالي بنسټونه او بانکونه ، سلګونه پوهنتونونه ، د متحده ایالاتو د اردو او انګلستان ډیری برخې ، سپینه ما Houseۍ ، NSA ، د متحده ایالاتو د بهرنیو چارو وزارت متحده ایالات او د اروپا پارلمان.

د سولر وینډز ​​پیرودونکي لوی شرکتونه هم لري لکه سیسکو ، AT&T ، ایرسین ، NEC ، لوسنت ، ماسټر کارډ ، ویزه USA ، کچه 3 او سیمنز.

شاته د سولر وینډز ​​اورین کاروونکو داخلي شبکې ته د ریموټ لاسرسي اجازه. ناوړه بدلون د سولر وینډز ​​اوریین نسخو 2019.4 - 2020.2.1 سره لیږدول شوی چې د مارچ څخه جون 2020 څخه خپور شوی.

د پیښې تحلیل په جریان کې ، د امنیت لپاره پام نه کول د لوی کارپوریټ سیسټم چمتو کونکو څخه راپورته شوي. داسې انګیرل کیږي چې د سولر وینډز ​​زیربنا ته لاسرسی د مایکروسافټ دفتر 365 حساب له لارې ترلاسه شوی.

برید کونکو د SAML سند ته لاسرسی وموند چې د ډیجیټل لاسلیکونو تولید لپاره کارول شوی و او دا سند د نوي ټوکنونو تولید لپاره کاروي چې داخلي شبکې ته د امتیاز لرونکي لاسرسي اجازه ورکوي.

مخکې لدې چې ، په نومبر 2019 123. outside کې ، بهر امنیتي څیړونکو د سولر وینډز ​​محصولاتو تازه معلوماتو سره د FTP سرور ته د لیکلو لاسرسي لپاره د درېیم پاسورډ "SolarWindXNUMX" کارولو یادونه وکړه ، په بیله بیا د کارمند رمز لیک. په عامه ګیټونو کې د سولر وینډز ​​څخه.

سربیره پردې ، وروسته له دې چې شاګرد وپیژندل شو ، سولر وینډز ​​د یو څه وخت لپاره ناوړه بدلونونو سره د تازه توزیعاتو توزیع کولو ته دوام ورکړ او سمدلاسه یې د هغه محصولاتو ډیجیټل لاسلیک کولو لپاره کارول شوی سند رد نکړ (مسله د دسمبر په 13 راپورته شوه او سند یې د دسمبر په 21 لغوه شو ).

د شکایتونو په ځواب کې د خبرتیا سیسټمونو باندې چې د مالویر کشف کولو سیسټم لخوا خپور شوی ، پیرودونکي وهڅول شول چې د غلط مثبتو اخطارونو په لرې کولو سره تایید غیر فعال کړي.

مخکې لدې ، سولر وینډز ​​استازو په فعاله توګه د خلاصې سرچینې پراختیا ماډل باندې نیوکه وکړه ، د آزادې سرچینې کارولو سره د خندا کانګو خواړه پرتله کول او په ګوته کول چې د پرانیستې پرمختیا ماډل د بک مارک ظهور نه منع کوي او یوازې یو ملکیت ماډل چمتو کولی شي په کوډ کنټرول.

سربیره پردې ، د متحده ایالاتو د عدلیې وزارت هغه معلومات افشا کړل چې برید کونکو د وزارت میل سرور ته لاسرسی وموند د مایکروسافټ دفتر 365 3.000 پلیټ فارم پراساس. برید داسې انګیرل کیږي چې د وزارت د شاوخوا ،XNUMX،XNUMX. employees کارمندانو د میل باکسونو مینځپانګه یې لیکلې وه.

د دوی د برخې لپاره ، د نیویارک ټایمز او رویټرز ، پرته د سرچینې توضیح کولو، د FBI تفتیش راپور ورکړ د جیټ براینز او سولر وینډز ​​ښکیلتیا ترمنځ احتمالي لینک باندې. سولر وینډز ​​د ټیم سیټي دوامداره ادغام سیسټم کارولی چې د جټ برنز لخوا چمتو شوی.

داسې انګیرل کیږي چې برید کونکي کولی شي د غلط ترتیباتو یا د ټیم سیټي زوړ نسخه کارولو له امله لاسرسی موندلی وي چې بې خطره زیانونه لري.

د جیټ براینز رییس د اړیکې په اړه توضیحات رد کړل د برید سره د شرکت و او اشاره یې کړې چې دوی د قانون پلي کونکو ادارو یا سولر وینډز ​​نماینده ګانو سره د سولر وینډز ​​زیربنا ته د ټیم سیټي لخوا د احتمالي ژمنې په اړه اړیکه نه ده نیولې.

سرچینه: https://msrc-blog.microsoft.com


د مقالې مینځپانګه زموږ د اصولو سره سمون لري ایډیټیک اخلاق. د غلطۍ راپور ورکولو لپاره کلیک وکړئ دلته.

لومړی د تبصره کولو لپاره وئ

خپله نظر پرېږدئ

ستاسو د بریښنا لیک پته به خپره نه شي.

*

*

  1. د معلوماتو لپاره مسؤل: میګیوانجل ګاتین
  2. د معلوماتو هدف: د سپیم کنټرول ، د نظر مدیریت.
  3. قانونیت: ستاسو رضایت
  4. د معلوماتو راټولول: معلومات به د قانوني مکلفیت پرته دریمې ډلې ته نه لیږدول کیږي.
  5. د معلوماتو ذخیره: ډیټابیس د Occentus شبکې (EU) لخوا کوربه شوی
  6. حقونه: په هر وخت کې تاسو کولی شئ خپل معلومات محدود ، له سره تنظیم او حذف کړئ.

bool (ریښتیا)