উইন্ডোজের জুম ওয়ার্কপ্লেস-এ দুটি নিরাপত্তাত্রুটির মাধ্যমে আক্রমণকারী ভুক্তভোগীর কম্পিউটারে বাড়তি ক্ষমতা পেতে পারত। দুটিরই সমাধান এখন প্রকাশিত হয়েছে।
দুটি ত্রুটি
- সিভিই-২০২৬-১০৮১৮৬ — ব্যবহারকারীর দেওয়া তথ্য ঠিকমতো যাচাই না করার কারণে। সিভিএসএস ৯.৬। আক্রান্ত সংস্করণ ৭.১.০ থেকে ৭.১.৮-এর আগ পর্যন্ত।
- সিভিই-২০২৬-১০৮১৮৭ — তথ্যের উৎস বৈধ কি না তা দুর্বলভাবে যাচাই করার কারণে। সিভিএসএস ৮.১। আক্রান্ত ৭.১.৫-এর আগের সংস্করণগুলো।
দুটিই কাজে লাগানো যায় নেটওয়ার্কের মাধ্যমে, কোনো অনুমোদন বা বিশেষ প্রবেশাধিকার ছাড়াই। এই বাক্যটির কারণেই স্কোর এত বেশি: আক্রমণকারীর আপনার পাসওয়ার্ড লাগে না, আগে থেকে আপনার যন্ত্রে থাকতে হয় না, আর আপনাকে কিছু চালাতেও হয় না।
যা করতে হবে
জুম দুটিরই সমাধানসহ হালনাগাদ সংস্করণ এনেছে এবং উইন্ডোজ ব্যবহারকারীদের এখনই সর্বশেষ জুম ওয়ার্কপ্লেস ইনস্টল করতে বলেছে। জুম খুলে প্রোফাইল ছবিতে ক্লিক করে চেক ফর আপডেটস বেছে নিন। ৭.১.৮ বা তার পরের যেকোনো সংস্করণেই দুটি ত্রুটিই দূর হয়।
আপনার প্রতিষ্ঠান যদি কেন্দ্রীয়ভাবে জুম ব্যবস্থাপনা করে, তবে কর্মীরা যে সংস্করণে আছেন সেটি আইটি বিভাগ সর্বশেষ যা দিয়েছে তা-ই — বাংলাদেশের অনেক অফিস নেটওয়ার্কে যা যন্ত্রটি বসানোর সময়ের সংস্করণ।
প্রকাশ পাওয়া ঝুঁকি কমায় না, বাড়ায়
উল্টো শোনালেও, সমাধান হয়ে প্রকাশ পাওয়া ত্রুটি প্রায়ই এক সপ্তাহের জন্য অপ্রকাশিত ত্রুটির চেয়ে বেশি বিপজ্জনক।
প্রকাশের আগে আক্রমণকারীকে ত্রুটিটি খুঁজে বের করতে হয়। প্রকাশের পর নির্দেশিকাই জানিয়ে দেয় কোন অংশ, কোন সংস্করণ আর কীভাবে ব্যর্থ হয়; আর প্যাচটিকে আগের সংস্করণের সঙ্গে মিলিয়ে দেখে ঠিক কোন পরিবর্তনটি হয়েছে তা বের করা যায়। এতে কাজটি গবেষণা থেকে নেমে আসে নিছক প্রকৌশলে।
তাই সমাধান পাওয়া আর সমাধান বসানোর মাঝের সময়টিই আসলে কাজে লাগানো হয় — আর মানুষ যে ডেস্কটপ সফটওয়্যার কখনো বন্ধ করে না, সেখানে এই সময়টা দীর্ঘ।
প্রেক্ষাপট: এ বছরে এটিই প্রথম নয়
জুলাইয়ে জুম উইন্ডোজের আরেকটি ত্রুটির সমাধান দিয়েছিল — সিভিই-২০২৬-৫৩৪১২, সিভিএসএস ৯.৮ — যা অনুমোদন ছাড়াই অ্যাকাউন্ট দখলের সুযোগ দিতে পারত।
এক বছরে একটি পণ্যে গুরুতর মাত্রার তিনটি ত্রুটি লক্ষ করার মতো, তবে জুমের প্রকৌশল নিয়ে এটি যতটা মনে হয় ততটা বলে না: বহুল ব্যবহৃত সফটওয়্যার বেশি খুঁটিয়ে দেখা হয়, আর যে প্রতিষ্ঠান দ্রুত সিভিই প্রকাশ করে তার প্রকাশ্য তালিকা স্বাভাবিকভাবেই লম্বা হয়।
যা জানা নেই
এই ত্রুটি দুটি বাস্তব হামলায় ব্যবহৃত হয়েছে কি না, জুম তা বলেনি, আর কে এগুলো খুঁজে পেয়েছেন প্রতিবেদনে তা-ও নেই। নিশ্চিত ব্যবহারের খবর না থাকাকে আশ্বাস নয়, অজানা হিসেবেই ধরুন — প্রতিষ্ঠানগুলো প্রায়ই বলতে পারে না, আর উত্তরটি আসে কয়েক সপ্তাহ পরে।
দুটি স্কোরের আসল মানে
সিভিএসএস চলে ০ থেকে ১০ পর্যন্ত, আর ৯.৬ ও ৮.১-এর ব্যবধান দেখতে যতটা, আসলে তার চেয়ে বড়। দুটিই অনুমোদন ছাড়া দূর থেকে নাগালে, তাই পার্থক্যটি আসে সফল হামলার পর কী হয় এবং সেটি কতটা নির্ভরযোগ্যভাবে কাজ করে তা থেকে। ৯.৬ সেই মাত্রায় পড়ে, যেখানে প্রতিষ্ঠানগুলোর কাছ থেকে পরের রক্ষণাবেক্ষণের সময়ের অপেক্ষা না করে তাৎক্ষণিক প্যাচ বসানোই প্রত্যাশিত।
সংস্করণ যাচাইয়ের সবচেয়ে জরুরি বিষয়
লক্ষ করুন, দুটি ত্রুটির সমাধান-সংস্করণ আলাদা — প্রথমটির ৭.১.৮, দ্বিতীয়টির ৭.১.৫। ৭.১.৫-এ হালনাগাদ করলে একটি দূর হবে, অন্যটি থেকে যাবে; আর এ ধরনের আংশিক প্যাচই তালিকায় সম্পন্ন কাজ বলে মনে হয়। ৭.১.৮ বা তার পরের যেকোনো সংস্করণে দুটিই বন্ধ হয়, তাই মনে রাখার মতো সংখ্যা ওই একটিই।
