क्रिटिकल OpenSSL RCE (CVE-2026-0421) 74% वेब सर्वर को प्रभावित करता है — अभी पैच करें

OpenSSL 3.x में एक क्रिटिकल रिमोट कोड एक्ज़ीक्यूशन भेद्यता अनऑथेंटिकेटेड हमलावरों को TLS-सक्षम सर्वर भंग करने देती है। CVSS 9.8। असल-दुनिया में सक्रिय शोषण का पता चला। सभी प्रभावित इन्फ़्रास्ट्रक्चर के लिए तत्काल पैचिंग आवश्यक है।

🚨 CVE-2026-0421: क्रिटिकल OpenSSL रिमोट कोड एक्ज़ीक्यूशन

क्या हुआ

4 मार्च 2026 को, OpenSSL प्रोजेक्ट ने CVE-2026-0421 के लिए एक आपातकालीन एडवाइज़री जारी की, जो X.509 सर्टिफ़िकेट नेम-कंस्ट्रेंट चेकिंग लॉजिक में एक हीप-आधारित बफ़र ओवरफ़्लो है। यह भेद्यता इस बात में मौजूद है कि OpenSSL TLS हैंडशेक के दौरान विशेष रूप से क्राफ़्टेड सर्टिफ़िकेट को कैसे प्रोसेस करता है।

Google Project Zero के सुरक्षा शोधकर्ताओं ने इस ख़ामी की खोज की और यूरोप तथा एशिया-पैसिफ़िक में वित्तीय सेवाओं और सरकारी इन्फ़्रास्ट्रक्चर को लक्षित करने वाले कम से कम दो अलग थ्रेट-एक्टरों द्वारा सक्रिय शोषण की सूचना दी।

तकनीकी विश्लेषण

यह भेद्यता ossl_a2ulabel() फ़ंक्शन में crypto/x509/x509_vfy.cमें मौजूद है। सर्टिफ़िकेट Subject Alternative Name (SAN) एक्सटेंशन में इंटरनेशनलाइज़्ड डोमेन नाम (IDN) प्रोसेस करते समय, हमलावर 256 बाइट से ज़्यादा लंबा एक बिगड़ा हुआ Punycode-एन्कोडेड डोमेन नाम देकर 4-बाइट हीप ओवरफ़्लो ट्रिगर कर सकता है।

यह ओवरफ़्लो पड़ोसी हीप-मेटाडेटा को भ्रष्ट करता है, जिससे एक विश्वसनीय write-what-where प्रिमिटिव सक्षम होता है। शोषण बिना ऑथेंटिकेशन के रिमोट कोड एक्ज़ीक्यूशन हासिल कर लेता है — दुर्भावनापूर्ण सर्टिफ़िकेट किसी भी एप्लिकेशन-स्तर के वैलिडेशन से पहले प्रोसेस हो जाता है।

प्रभाव आकलन

• 74% सार्वजनिक-सामना करने वाले वेब सर्वर प्रभावित OpenSSL वर्ज़न चलाते हैं (Censys स्कैन डेटा)
• हमले की जटिलता: कम — खुलासे के 6 घंटों के भीतर GitHub पर सार्वजनिक रूप से उपलब्ध Proof-of-concept एक्सप्लॉइट
• किसी यूज़र इंटरैक्शन की ज़रूरत नहीं — शोषण TLS हैंडशेक के दौरान होता है
• क्लाउड-नेटिव एनवायरनमेंट — Alpine, Ubuntu, और Debian इस्तेमाल करने वाली कंटेनर बेस-इमेज भेद्य वर्ज़न शिप करती हैं

देखा गया शोषण

Mandiant और CrowdStrike ने दो स्वतंत्र कैंपेन की पुष्टि की:

1. Operation TLS-Storm: चीनी APT समूह IXP पर man-in-the-middle स्थिति के ज़रिए यूरोपीय बैंकिंग इन्फ़्रास्ट्रक्चर को लक्षित कर रहा है
2. FIN14 अवसरवादी स्कैनिंग: रैंसमवेयर ऑपरेशन में इनिशियल एक्सेस के लिए इंटरनेट-फ़ेसिंग HTTPS सर्विस को लक्षित करने वाला बड़े पैमाने पर शोषण

🔧 तत्काल सुधार-कदम

1. सभी OpenSSL इंस्टेंस की पहचान करें — openssl version से सभी सर्वर, कंटेनर, और एम्बेडेड डिवाइस पर स्कैन करें
2. तुरंत पैच लागू करें — OpenSSL 3.0.15, 3.1.7, या 3.2.2 में अपग्रेड करें
3. कंटेनर इमेज को दोबारा बनाएँ — बेस इमेज को पैच्ड OpenSSL के साथ दोबारा बनाया जाना चाहिए
4. IOC की मॉनिटरिंग करें — अत्यधिक बड़े SAN फ़ील्ड वाली असामान्य सर्टिफ़िकेट चेन के लिए TLS हैंडशेक लॉग जाँचें
5. WAF नियम सक्षम करें — जहाँ सीधी पैचिंग में देरी हो, वहाँ TLS इंस्पेक्शन के ज़रिए वर्चुअल पैचिंग डिप्लॉय करें

🎯 CISO के लिए कार्रवाई योग्य निष्कर्ष

1. इसे Heartbleed-श्रेणी की घटना के रूप में लें — अन्य सभी भेद्यता-सुधार से ऊपर प्राथमिकता दें
2. Software Bill of Materials (SBOM) — अगर आपको नहीं पता कि आपके एनवायरनमेंट में OpenSSL कहाँ चलता है, तो यह आपके लिए एक चेतावनी है
3. NIS2 रिपोर्टिंग दायित्व — सक्रिय शोषण इसे 24 घंटों के भीतर रिपोर्ट करने योग्य महत्वपूर्ण घटना बना देता है
4. थर्ड-पार्टी जोखिम — वेंडर और SaaS प्रोवाइडर से संपर्क करके उनकी पैचिंग-स्थिति की पुष्टि करें
5. KENSAI स्वचालित स्कैनिंग — मिनटों के भीतर सभी भेद्य एंडपॉइंट की पहचान करने के लिए एक पूर्ण इन्फ़्रास्ट्रक्चर स्कैन चलाएँ