پی کے سی ای آر ٹی نے نوڈ ڈاٹ جے ایس کی سنگین خامیوں پر فوری پیچنگ کا حکم دیا

پاکستان کی قومی سائبر ایمرجنسی رسپانس ٹیم (پی کے سی ای آر ٹی) نے سرکاری محکموں اور مالیاتی اداروں کو نوڈ ڈاٹ جے ایس (Node.js) میں سنگین سکیورٹی خامیوں سے خبردار کرتے ہوئے کہا ہے کہ متاثرہ نظاموں پر فوری طور پر سکیورٹی اپ ڈیٹس لگائی جائیں۔ یہ ایڈوائزری 26 اکتوبر کو جاری کی گئی، جسے ٹیک جوس نے رپورٹ کیا۔ رپورٹ کے مطابق پی کے سی ای آر ٹی نے کہا کہ یہ خامیاں حملہ آوروں کو ریموٹ کوڈ چلانے، ٹی ایل ایس سرٹیفکیٹ کی تصدیق کو بائی پاس کرنے اور حساس معلومات تک رسائی کی سہولت دیتی ہیں۔

نوڈ ڈاٹ جے ایس پروجیکٹ نے 10 خامیوں کے لیے اصلاحات جاری کی ہیں، جن میں چار شدید، تین درمیانی اور تین کم نوعیت کی ہیں۔ یہ ورژن 22.x، 24.x اور 26.x کو متاثر کرتی ہیں۔ سب سے سنگین خامی سی وی ای-2026-111497 ہے، جو بروٹلی ڈی کمپریشن کمپوننٹ میں آؤٹ آف باؤنڈز رائٹ ہے۔ حملہ آور تیار کردہ کمپریسڈ ڈیٹا کے ذریعے اسے استعمال کر سکتے ہیں اور من مانی کوڈ چلا سکتے ہیں، ایپلیکیشنز کو کریش کر سکتے ہیں یا پراسیس میموری پڑھ سکتے ہیں۔

پی کے سی ای آر ٹی کے مطابق کامیاب استحصال کی صورت میں حملہ آور ڈی این ایس میں ردوبدل، نامناسب ٹی ایل ایس سرٹیفکیٹس کی قبولیت، غیر مجاز فائل سسٹم تک رسائی اور خدمات میں خلل بھی ڈال سکتے ہیں۔ رپورٹ کے مطابق ایسی ایپلیکیشنز جن میں غیر مصدقہ کمپریسڈ ڈیٹا پراسیس ہوتا ہے یا جو بیرونی درخواستیں وصول کرتی ہیں، سب سے زیادہ خطرے میں ہیں، جبکہ سرکاری نظام، اہم معلوماتی انفراسٹرکچر اور تھرڈ پارٹی ایپلیکیشنز بھی خطرے سے دوچار ہیں۔

رپورٹ کے مطابق سکیورٹی فرم امپروا نے آفیشل نوڈ ڈاٹ جے ایس 24.22.0 بلڈ پر ریموٹ کوڈ ایگزیکیوشن کا مظاہرہ کیا، جبکہ ریڈ ہیٹ نے ایسا پروف آف کانسیپٹ کوڈ دستاویز کیا جو میموری کوریپشن اور ایپلیکیشن کریش کا سبب بنتا ہے۔ پی کے سی ای آر ٹی نے کہا کہ اب تک بڑے پیمانے پر فعال استحصال کی تصدیق نہیں ہوئی۔

اداروں کو ہدایت کی گئی کہ وہ نوڈ ڈاٹ جے ایس کی تمام انسٹالیشنز کی فہرست بنائیں، جن میں ایمبیڈڈ ایپلیکیشنز، کنٹینر امیجز، سی آئی/سی ڈی پائپ لائنز اور ڈویلپرز کے ورک سٹیشنز شامل ہیں، اور انٹرنیٹ سے منسلک خدمات، اے پی آئی گیٹ ویز، بیک اینڈ سسٹمز اور کلاؤڈ ہوسٹڈ ایپلیکیشنز کو ترجیح دیں۔ جہاں پیچنگ میں وقت لگے، پی کے سی ای آر ٹی نے عبوری اقدامات تجویز کیے: غیر مصدقہ بروٹلی کمپریسڈ ڈیٹا کی پراسیسنگ محدود کرنا، درخواستوں کے حجم کی حد مقرر کرنا، نیٹ ورک تک رسائی کے کنٹرول سخت کرنا، ہوسٹ نیمز کی سختی سے تصدیق اور ٹی ایل ایس سرٹیفکیٹ کی تصدیق لازم کرنا۔ ٹیم نے واضح کیا کہ یہ اقدامات سرکاری اپ ڈیٹس کا متبادل نہیں۔ آئی ٹی ٹیموں کو ای مودھرا کے متاثرہ انٹرمیڈیٹ سرٹیفکیشن اتھارٹی کے پیش نظر سرٹیفکیٹ ٹرسٹ اسٹورز کو بھی اپ ڈیٹ کرنے کو کہا گیا۔

سکیورٹی ٹیموں کو ہدایت کی گئی کہ وہ نوڈ ڈاٹ جے ایس کے غیر معمولی کریشز، غیر متوقع چائلڈ پراسیسز، میموری فالٹس، مشکوک آؤٹ باؤنڈ کنکشنز اور غیر مجاز فائل سسٹم رسائی پر نظر رکھیں۔ پیچنگ کے بعد ادارے کنٹینر امیجز دوبارہ بنائیں اور تعینات کریں، خدمات ری اسٹارٹ کریں اور سکیورٹی ٹیسٹنگ کریں، جبکہ مشتبہ استحصال کی صورت میں نیٹ ورک لاگز محفوظ رکھتے ہوئے پی کے سی ای آر ٹی کے انسیڈنٹ پورٹل پر رپورٹ کریں۔

الگ رپورٹ میں پروپاکستانی نے کہا کہ محققین نے پی ایچ پی کی دو خامیوں، سی وی ای-2026-109618 اور سی وی ای-2026-109619، کا فعال استحصال ایمرجنسی پیچ جاری ہونے کے چند دنوں کے اندر تصدیق کیا ہے۔ پروپاکستانی کے مطابق پرپلیکسٹی سے وابستہ محقق عادل کریمی نے 24 اکتوبر کو تین ہنی پاٹ سرورز پر دو آئی پی ایڈریسز سے 35 کامیاب کمانڈ ایگزیکیوشنز ریکارڈ کیں۔ اصلاحات پی ایچ پی کے ورژن 8.5.12، 8.4.27، 8.3.36 اور 8.2.35 میں دستیاب ہیں۔