ইউইএফআই ফার্মওয়্যারে ১৬ বছরের পুরোনো গুরুতর ত্রুটি, নেটওয়ার্কে চালু হওয়া সার্ভারে ঝুঁকি

আমাদের প্রতিবেদক

কম্পিউটার চালু হওয়ার সময় সবার আগে যে সফটওয়্যার কাজ শুরু করে, সেই ইউইএফআই ফার্মওয়্যার তৈরির বহুল ব্যবহৃত ওপেন সোর্স কোডভিত্তি ‘ইডিকে টু’ (EDK II)-তে গুরুতর একটি নিরাপত্তাত্রুটি ধরা পড়েছে। ত্রুটিটির সুযোগ নিয়ে নেটওয়ার্কের মাধ্যমে চালু হওয়া (পিএক্সই বুট) সার্ভারে অপারেটিং সিস্টেম লোড হওয়ার আগেই ক্ষতিকর কোড চালানো সম্ভব। ফলে সিকিউর বুটের মতো সুরক্ষাব্যবস্থা কাজ শুরুর আগেই যন্ত্রের নিয়ন্ত্রণ নিতে পারে আক্রমণকারী।

ত্রুটিটির শনাক্তকরণ নম্বর সিভিই-২০২৬-৯৭৬৩১। ইডিকে টু প্রকল্পের পরিচালক টিয়ানোকোর ২২ অক্টোবর এ বিষয়ে নিরাপত্তা পরামর্শ (অ্যাডভাইজরি) প্রকাশ করে এবং ১০-এর মধ্যে ৯ দশমিক ৫ মাত্রার ঝুঁকি হিসেবে চিহ্নিত করে। অ্যাডভাইজরিতে ত্রুটিটি খুঁজে বের করার কৃতিত্ব দেওয়া হয়েছে অ্যানথ্রপিকের নিরাপত্তা গবেষক অ্যালেক্স মাতরোসভ ও গুগলের ড্যান হোমস-মিত্রাকে।

ত্রুটিটা কোথায়

অনেক প্রতিষ্ঠানের সার্ভার নিজের ডিস্ক থেকে নয়, নেটওয়ার্ক থেকে প্রয়োজনীয় ফাইল নামিয়ে চালু হয়। এ পদ্ধতিকে পিএক্সই বুট বলে। টিয়ানোকোরের অ্যাডভাইজরি অনুযায়ী, এ সময় ইডিকে টুর পিএক্সই ড্রাইভার নেটওয়ার্ক থেকে আসা আইসিএমপি ত্রুটিবার্তাগুলো ৫০৪ বাইটের একটি নির্দিষ্ট জায়গায় জমা রাখে। কিন্তু আইপিভি৪ ও আইপিভি৬—দুই ক্ষেত্রেই বার্তার আকার যাচাইয়ের হিসাবে ভুল ছিল। ফলে এর চেয়ে বড় একটি বার্তা পাঠালে তা নির্ধারিত জায়গা ছাপিয়ে আশপাশের মেমোরিতে আক্রমণকারীর পছন্দমতো তথ্য লিখে ফেলে, যাকে বাফার ওভারফ্লো বলা হয়।

এর জন্য কোনো পাসওয়ার্ড বা আগে থেকে যন্ত্রে প্রবেশাধিকার লাগে না। তবে সার্ভারটি যখন নেটওয়ার্ক থেকে চালু হচ্ছে, ঠিক সেই সময়ে সেটির কাছে তৈরি করা বার্তা পৌঁছাতে হবে। সহজ পরিণতি হলো বুট আটকে যাওয়া। আর নির্দিষ্ট ফার্মওয়্যার সংস্করণ জানা থাকলে আক্রমণকারী নিজের কোডও চালাতে পারে বলে অ্যাডভাইজরিতে বলা হয়েছে।

ঝুঁকিতে কারা

সাইবার নিরাপত্তাবিষয়ক সংবাদমাধ্যম দ্য হ্যাকার নিউজের প্রতিবেদনে বলা হয়েছে, ত্রুটিপূর্ণ কোডটি ২০১০ সাল থেকে ইডিকে টুতে রয়ে গেছে। সর্বশেষ স্থিতিশীল সংস্করণ edk2-stable202608 পর্যন্ত সব সংস্করণ এতে আক্রান্ত। এএমআই, ইনসাইড, ফিনিক্সের মতো বায়োস নির্মাতা প্রতিষ্ঠান এবং মাইক্রোসফটের প্রজেক্ট মিউ ইডিকে টুর ওপর ভিত্তি করেই ফার্মওয়্যার বানায়। রেড হ্যাট, সুসে ও ডেবিয়ানের মতো লিনাক্স ডিস্ট্রিবিউশনও তাদের edk2 প্যাকেজকে আক্রান্ত হিসেবে তালিকাভুক্ত করেছে।

তবে ঠিক কত পণ্যে এই কোড আছে, তা জানা যায়নি। ইন্টেল জানিয়েছে, তাদের নিরাপত্তা সহায়তার আওতায় থাকা বাণিজ্যিক পণ্যে এ ত্রুটির খবর নেই। আর্মও বলেছে, ত্রুটিটি সরাসরি তাদের পণ্যের ক্ষেত্রে প্রযোজ্য নয়। কেবল নিজের ডিস্ক থেকে চালু হওয়া বাসা বা অফিসের সাধারণ কম্পিউটার এতে ঝুঁকিতে নেই। ঝুঁকি মূলত ডেটা সেন্টার ও প্রতিষ্ঠানের সেই সব সার্ভারের, যেগুলো নেটওয়ার্ক থেকে চালু হয়। রেড হ্যাট ও সুসে একে ইন্টারনেটের যেকোনো জায়গা থেকে নয়, বরং একই বা কাছাকাছি নেটওয়ার্কে থাকা আক্রমণকারীর পক্ষে কাজে লাগানোর মতো ত্রুটি হিসেবে মূল্যায়ন করেছে।

সমাধান কবে

ত্রুটি সারানোর কোড ১৫ অক্টোবর ইডিকে টুর মূল উন্নয়ন শাখায় যুক্ত হয়েছে। তবে ২৮ অক্টোবর পর্যন্ত কোনো স্থিতিশীল সংস্করণে তা আসেনি বলে জানিয়েছে দ্য হ্যাকার নিউজ। মাইক্রোসফটের প্রজেক্ট মিউ অবশ্য ২৬ অক্টোবর সমাধানসহ নতুন বিল্ড ছেড়েছে। সার্ভার ব্যবহারকারীদের ক্ষেত্রে আসল সমাধান আসবে যন্ত্রের নির্মাতা প্রতিষ্ঠান সংশোধিত বায়োস বা ইউইএফআই হালনাগাদ দিলে। ইতালির সাইবার নিরাপত্তা সংস্থা সিএসআইআরটি-ইতা পরামর্শ দিয়েছে, হালনাগাদ না আসা পর্যন্ত প্রয়োজন না থাকলে পিএক্সই বুট বন্ধ রাখতে, অথবা তা কেবল বিশ্বস্ত ও আলাদা করা নেটওয়ার্কে সীমিত রাখতে।

এখন পর্যন্ত ত্রুটিটি কাজে লাগিয়ে কোনো হামলার খবর পাওয়া যায়নি। যুক্তরাষ্ট্রের সাইবার নিরাপত্তা সংস্থা সিসার সক্রিয়ভাবে অপব্যবহৃত ত্রুটির তালিকাতেও ২৭ অক্টোবর পর্যন্ত এটি ছিল না। তবে সমাধানের কোড প্রকাশ্যে চলে আসায় দক্ষ হ্যাকাররা তা বিশ্লেষণ করে আক্রমণের উপায় বের করতে পারে বলে আশঙ্কা করছেন বিশেষজ্ঞরা।

এর আগে ২০২৪ সালের জানুয়ারিতে ইডিকে টুর একই নেটওয়ার্ক বুট অংশে ‘পিক্সিফেইল’ নামে নয়টি ত্রুটি প্রকাশ পেয়েছিল। সম্প্রতি পিএইচপিতে শনাক্ত হওয়া একটি গুরুতর ত্রুটির পরপরই এ খবর আসায় প্রযুক্তি অবকাঠামোর নিরাপত্তা নিয়ে উদ্বেগ বাড়ছে বলে প্রথম আলোর প্রতিবেদনে উল্লেখ করা হয়েছে।