← ब्लॉग पर वापस जाएँ

सिक्योरिटी ब्रीफिंग, 5 मई 2026: Weaver RCE, Copy Fail, PyTorch Lightning बैकडोर और Amazon SES फ़िशिंग

आज सुबह का पैटर्न साफ़ है: हमलावर भरोसेमंद दिखने वाली बुनियादी चीज़ों को leverage बना रहे हैं। Workflow software, Linux kernel, developer dependency और legitimate cloud email तभी तेज़ attack path बन गए जब teams ने मान लिया कि underlying channel सुरक्षित है।

---

---

1. Weaver E-cology फिर साबित करता है कि hidden debug path असली intrusion path बन जाते हैं

BleepingComputer के अनुसार Weaver E-cology में CVE-2026-22679 का शोषण mid-March से हो रहा है। Vega ने बताया कि exposed debug API के जरिए unauthenticated RCE मिली, जहाँ attacker-controlled parameters backend RPC function और system command तक पहुँच गए। देखी गई activity में reconnaissance, PowerShell payload delivery और बार-बार fileless script fetch शामिल थे।

• 12 मार्च वाले fix से पहले की Weaver E-cology 10.0 build तुरंत upgrade करें।
• प्रभावित server पर java.exe से parent हुई whoami, ipconfig, tasklist, ping और PowerShell activity खोजें।
• Exposed collaboration system को सिर्फ document platform नहीं बल्कि lateral movement foothold मानें।

---

2. Copy Fail अब research write-up से निकलकर live root risk बन चुका है

CISA ने public disclosure के एक दिन बाद CVE-2026-31431 यानी Copy Fail को अपने KEV catalog में जोड़ दिया। यह bug algif_aead interface में है और unprivileged local user को किसी भी readable file की page cache में controlled bytes लिखकर root दिला सकता है। Theori के मुताबिक वही exploit Ubuntu, Amazon Linux, RHEL और SUSE पर भरोसेमंद तरीके से चला।

• Internet-facing Linux system और multi-user server पर kernel update को सबसे ऊपर रखें।
• 2017 से vulnerable window में बनी हर distribution को patch होने तक suspicious मानें।
• इसे मामूली local privilege escalation समझकर न टालें; foothold के बाद root ही असली इनाम है।

---

3. PyTorch Lightning 2.6.3 ने popular AI dependency को import-time secret trap बना दिया

PyPI पर मौजूद malicious lightning 2.6.3 release import होते ही Bun डाउनलोड करती थी और obfuscated JavaScript payload चलाती थी। रिपोर्ट के अनुसार payload browser data, .env file, API key, cloud credential को target करती थी और arbitrary command execution भी कर सकती थी। महीने में 11 million से अधिक download वाले package के लिए limited infection भी बड़ा trust failure है।

• lightning 2.6.3 को तुरंत हटाएँ और known-good release pin करें।
• जिस भी system ने malicious version import किया हो वहाँ token, API key, cloud credential और secret rotate करें।
• Build pipeline में dependency trust assumptions की समीक्षा करें, खासकर जहाँ import-time execution छिप सकती है।

---

4. Amazon SES phishing दिखाता है कि cloud trust reputation-based defense को बेअसर कर सकता है

Kaspersky ने Amazon SES के जरिए भेजे जा रहे phishing में बढ़ोतरी देखी, जिसे अक्सर public repository, .env file, backup, image या exposed S3 bucket में मिले AWS IAM key enable करते हैं। क्योंकि संदेश legitimate SES infrastructure से आते हैं, वे SPF, DKIM और DMARC पास कर सकते हैं और traditional blocking को कमजोर बना देते हैं।

• Exposed AWS key खोजें और SES permission को minimum necessary scope तक घटाएँ।
• Key rotate करें, MFA enforce करें और जहाँ संभव हो sending identity पर IP restriction लगाएँ।
• Phishing detection को sender reputation से आगे बढ़ाकर behavior, link और unusual sending pattern तक ले जाएँ।

---

आज security team को क्या करना चाहिए

1. Weaver E-cology और vulnerable Linux kernel को lower-priority hygiene work से पहले patch करें।
2. Software inventory और CI pipeline में lightning 2.6.3 खोजें, फिर उससे जुड़े हर secret को rotate करें।
3. AWS IAM exposure path की समीक्षा करें और SES abuse को identity plus secret-management failure की तरह लें।
4. Responders को साफ़ बता दें कि आज trusted infrastructure ही theme है: debug endpoint, kernel, package और cloud email सब verify होने चाहिए।

---

---

निष्कर्ष: आज की common failure गलत trust है, खासकर उन channel पर जो legitimate दिखते हैं। सही जवाब glamorous नहीं है: तेज़ patching, बिना बहस secret rotation, और हर trusted platform को ऐसे verify करना जैसे वही attack path का हिस्सा हो।