সিসকোর দুই ভয়াবহ নিরাপত্তা ত্রুটি সংশোধন: হ্যাকারদের রুট অ্যাক্সেস পাওয়ার সুযোগ বন্ধ

সিসকো তাদের পরিচয় যাচাইকরণ সফটওয়্যার Cisco Identity Services Engine (ISE) ও ISE Passive Identity Connector (ISE-PIC)-এ পাওয়া দুটি ভয়াবহ নিরাপত্তা দুর্বলতার জন্য জরুরি প্যাচ (সিকিউরিটি আপডেট) প্রকাশ করেছে।

এই দুটি ত্রুটির মাধ্যমে দূরবর্তী, অননুমোদিত হ্যাকাররা সরাসরি ডিভাইসের অপারেটিং সিস্টেমে রুট (root) প্রিভিলেজ-এ কোড চালাতে পারতো—যা একে সবচেয়ে বিপজ্জনক ধরনের সাইবার দুর্বলতার কাতারে ফেলে।

দুটি ত্রুটির কোডনাম: CVE-2025-20281, CVE-2025-20282।

দু'টিকেই সিভিয়ারিটি স্কোর ১০/১০ দেওয়া হয়েছে, যদিও ন্যাশনাল ভালনারেবিলিটি ডেটাবেইজ (NVD) প্রথমটির স্কোর ৯.৮ করেছে। তবুও, দুইটি ত্রুটিই ISE এবং ISE-PIC সফটওয়্যারে থাকা অপারেটিং সিস্টেমের ওপর সরাসরি নিয়ন্ত্রণ নেওয়ার সুযোগ করে দিচ্ছিল।

ISE মূলত একটি নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল সলিউশন, যা নিরাপদ নেটওয়ার্ক সার্ভার, ভার্চুয়াল মেশিন এবং কিছু ক্লাউড ইন্সট্যান্সে ব্যবহার করা হয়। আর ISE-PIC ব্যবহারকারীর পরিচয় যাচাই করে সেই তথ্য অন্যান্য নিরাপত্তা টুলে পাঠায়।

সিসকো জানিয়েছে, দুটি ত্রুটি পরস্পরের সাথে সম্পর্কিত নয়—প্রত্যেকটি আলাদাভাবে এককভাবে কাজে লাগানো সম্ভব।

CVE-2025-20281: একটি অভ্যন্তরীণ API-তে ইনপুট যাচাইয়ের ঘাটতি থাকার কারণে হ্যাকাররা বিশেষভাবে তৈরি করা রিকোয়েস্ট পাঠিয়ে লগইন ছাড়াই রুট প্রিভিলেজ অর্জন করতে পারতো।

CVE-2025-20282: এই ত্রুটির মাধ্যমে হ্যাকাররা কোনো প্রমাণপত্র ছাড়াই সিস্টেমে ম্যালিশিয়াস ফাইল আপলোড করে রুট পর্যায়ে কোড চালাতে পারতো। এটি সম্ভব হয়েছে কারণ API ফাইল যাচাইয়ের প্রক্রিয়ায় ফাঁক ছিল।

CVE-2025-20281 প্রভাব ফেলে ISE ও ISE-PIC এর ভার্সন ৩.৩ এবং ৩.৪-এ্রCVE-2025-20282 শুধুমাত্র ভার্সন ৩.৪-কে প্রভাবিত করে। ৩.২ এবং এর আগের সংস্করণে এই ত্রুটি নেই, তবে অন্যান্য ত্রুটি থাকতে পারে।

সিসকো নিশ্চিত করেছে, এখন পর্যন্ত এই ত্রুটিগুলোর কোনো সক্রিয় শোষণের প্রমাণ পাওয়া যায়নি। তবে হ্যাকারদের আক্রমণ ঠেকাতে দ্রুত আপডেট ইনস্টল করার আহ্বান জানানো হয়েছে।

CVE-2025-20281 প্রতিরোধে: ISE 3.3 → প্যাচ ৬, ISE 3.4 → প্যাচ ২। 

CVE-2025-20282 প্রতিরোধে: শুধুমাত্র ISE 3.4 → প্যাচ ২, কোনো workaround বা বিকল্প সমাধান নেই—শুধু প্যাচই একমাত্র নিরাপদ উপায়।

চলতি বছরের শুরুতেও সিসকো ISE ও ISE-PIC-এর জন্য সমজাতীয় দুটি সমালোচিত API দুর্বলতার প্যাচ দিয়েছিল। তবে তখন সেগুলোর শোষণে read-only অ্যাডমিন এক্সেস প্রয়োজন ছিল, যেখানে এবারকার ত্রুটিগুলো কোনো প্রমাণপত্র ছাড়াই হ্যাকারদের রুট অ্যাক্সেস দিতে পারতো।

এই নিরাপত্তা ত্রুটিগুলো প্রমাণ করে যে, বড় প্রতিষ্ঠানের নিরাপত্তা সফটওয়্যারেও মারাত্মক ফাঁক থাকতে পারে। সিসকোর মতো প্রতিষ্ঠান কর্তৃক তা দ্রুত শনাক্ত ও সমাধান করা গুরুত্বপূর্ণ। প্রশাসকদের উচিত দ্রুত প্যাচ ইন্সটল করে সম্ভাব্য সাইবার হামলা থেকে নিজ নিজ সিস্টেমকে রক্ষা করা।

সূত্র: https://short-link.me/15XVH