ایڈوب کامرس اور میجنٹو میں خطرناک خامی کی نشاندہی

نیشنل کمپیوٹر ایمرجنسی ریسپانس ٹیم (این سی ای آر ٹی) نے کاروباری اداروں کو ایڈوب کامرس اور میجنٹو اوپن سورس پلیٹ فارمز میں پائی جانے والی ایک انتہائی خطرناک کمزوری کے حوالے سے ہائی پرائیورٹی ایڈوائزری جاری کی ہے۔ اس خامی کو سیشن ریپر کا نام دیا گیا ہے۔

یہ نقص، جسے سی وی ای-2025-54236 کے نام سے ٹریک کیا جا رہا ہے، کوسی وی ایس ایس 9.1 (انتہائی سنگین) درجہ دیا گیا ہے۔ یہ مسئلہ کامرس ریسٹ اے پی آئی میں غیر مناسب ان پٹ ویلیڈیشن کے باعث سامنے آیا ہے۔ اس کا کامیاب استعمال حملہ آوروں کو صارفین کے سیشن ہائی جیک کرنے، غیر مجاز رسائی حاصل کرنے اور مخصوص حالات میں متاثرہ سرورز پر ریموٹ کوڈ ایکزیکیوشن کی سہولت دے سکتا ہے۔

این سی ای آر ٹی کے مطابق یہ کمزوری ایڈوب کامرس، میجنٹو اوپن سورس، بی ٹو بی ایکسٹینشنز اور کسٹم اٹریبیوٹس سیریالائزیبل ماڈیول سمیت متعدد ڈپلائمنٹ میتھڈز کو متاثر کرتی ہے۔ اس سے صارفین کے ڈیٹا کی چوری، ٹرانزیکشنز کے ہائی جیک، اور مکمل سسٹم کے سمجھوتے کا خدشہ ہے۔

اگر اس کا غلط استعمال کیا گیا تو حملہ آور درج ذیل مقاصد حاصل کر سکتے ہیں: صارفین کے اکاؤنٹس پر قبضہ اور حساس معلومات کی چوری، ایسے ماحول میں ریموٹ کوڈ ایکزیکیوشن جہاں فائل بیسڈ سیشن اسٹوریج فعال ہو، چوری شدہ ٹوکنز یا اے پی آئی کیز کے ذریعے پرولیج میں اضافہ، سروس میں خلل ڈال کر ای کامرس آپریشنز کو بڑے پیمانے پر متاثر کرنا۔

این سی ای آر ٹی نے اداروں پر زور دیا ہے کہ وہ فوری طور پر ایمرجنسی ہاٹ فکس وی یو ایل این-32437-2-4-ایکس پیچ لگائیں یا ایڈوب کے تازہ ترین ریلیز (APSB25-88) پر اپ گریڈ کریں۔ اس کے علاوہ ایڈمنسٹریٹر اور اے پی آئی کریڈینشل کو فوراً تبدیل کرنے،ریسٹ اے پی آئی تک رسائی کو صرف قابلِ اعتماد نیٹ ورکس تک محدود کرنے، ڈبلیو اے ایف/آئی ڈی ایس/آئی پی ایس رولز نافذ کرنے، اور لاگز کی نگرانی بڑھانے کی ہدایت دی گئی ہے تاکہ مشکوک لاگ ان کوششوں، سیشن میں ردوبدل اور پرولیج کے غیر معمولی اضافے کا بروقت پتہ لگایا جا سکے۔

ایڈوائزری میں خبردار کیا گیا ہے کہ چونکہ یہ حملے نہایت کم پیچیدگی کے حامل ہیں اور ان کے لیے کسی اجازت کی ضرورت نہیں، اس لیے بڑے پیمانے پر ایکسپلائٹیشن مہمات تیزی سے شروع ہو سکتی ہیں۔

این سی ای آر ٹی نے زور دیا کہ بروقت پیچنگ بڑے پیمانے پر ای کامرس پلیٹ فارمز کو کمپرومائز سے بچانے کے لیے ضروری ہے“، اور کاروباری اداروں کو مانیٹرنگ مضبوط کرنے اور دفاعی حکمتِ عملی اپنانے کا مشورہ دیا۔

کاپی رائٹ بزنس ریکارڈر، 2025