इनोरा सिक्योरिटी रिसर्च ने लिनक्स कर्नेल vulnerabilites और CVE विश्लेषण रिपॉजिटरी प्रकाशित की

इनोरा सिक्योरिटी रिसर्च ने निरंतर लिनक्स कर्नेल vulnerabilites अनुसंधान, मूल-कारण विश्लेषण (root-cause analysis), और पुनरुत्पादन वातावरण (reproduction environments) पर केंद्रित एक सार्वजनिक रिपॉजिटरी जारी की है। प्रकाशन के अनुसार, यह प्रोजेक्ट मुख्य रूप से लिनक्स कर्नेल नेटवर्किंग बग्स और संबंधित बुनियादी ढांचों को लक्षित करता है, साथ ही Synology NAS के खिलाफ C3RB3R और L0CK3D ransomware अभियानों के पीछे शुरुआती-पहुंच वाले CVEs के विश्लेषण को भी शामिल करता है।

इनोरा का कहना है कि ai0day.com LLM द्वारा संचालित इसकी शोध पाइपलाइन ट्राइएज, निर्धारित पुनरुत्पादन, प्रिमिटिव निष्कर्षण और श्रृंखला सत्यापन को संभालती है। संगठन का उल्लेख है कि सभी शोध लक्षित vulnerabilites पहले से पैच की जा चुकी हैं, जिनके अपस्ट्रीम फिक्स प्रकाशन से पहले या साथ जारी किए गए थे।

रिपॉजिटरी संरचना और सामग्री

रिपॉजिटरी में जांचे गए प्रत्येक CVE में विशिष्ट तकनीकी घटकों वाला एक समर्पित निर्देशिका (directory) शामिल है:

• मूल-कारण विश्लेषण: विस्तृत कोड पथ, रेस विंडो, और लाइफटाइम बग।
• पुनरुत्पादन वातावरण: स्व-निहित, QEMU-आधारित सेटअप जिन्हें किसी बाहरी लक्ष्य की आवश्यकता नहीं होती है।
• शोषण क्षमता प्रिमिटिव (Exploitability Primitives): हीप लेआउट, TOCTOU, और आउट-ऑफ-बाउंड्स रीड/राइट विश्लेषण सहित यथार्थवादी हमलावर क्षमताओं का विश्लेषण।
• पैच मैट्रिक्स और रक्षा मार्गदर्शन: निश्चित संस्करणों, पहचान और शमन रणनीतियों पर जानकारी।

प्रकाशन नीति और सुरक्षा उपाय

इनोरा ने अपने खुलासे के संबंध में स्पष्ट सीमाएं रेखांकित की हैं। संगठन स्पष्ट रूप से कहता है कि पूर्ण हथियारबंद शोषण (weaponized exploits) अल्पकालिक रूप से सार्वजनिक नहीं किए जाएंगे, यह हवाला देते हुए कि कार्यात्मक नेटवर्क हथियारों को जारी करना ज़िम्मेदार नहीं माना जाता है।

• लक्ष्य दायरा: विशेष रूप से पहले से पैच की गई vulnerabilites पर ध्यान केंद्रित करता है।
• अलगाव: पुनरुत्पादन वातावरण QEMU वर्चुअल मशीनों और कस्टम कर्नेल का उपयोग करते हैं जिन्हें लाइव सिस्टम के खिलाफ न चलाने के लिए डिज़ाइन किया गया है।
• समन्वय: vulnerabilites के खुलासे अपस्ट्रीम फिक्स उपलब्धता के साथ समन्वित किए जाते हैं।

पाठक और सुरक्षा पेशेवर आधिकारिक GitHub रिपॉजिटरी github.com/sgInnora/innora-cve-research पर जाकर या आधिकारिक X खाते @Innora_sg और वेबसाइट innora.ai पर अपडेट की जांच करके घोषणाओं को सत्यापित कर सकते हैं और पूरी प्रकाशन नीति की समीक्षा कर सकते हैं।