CVE-2025-26326

NVDA Remote और Tele NVDA Remote कनेक्शन ऐड-ऑन में गंभीर सुरक्षा भेद्यता।

इस भेद्यता को CNA MITRE में CVE-2025-26326 के रूप में दर्ज किया गया था।

यह CVE/भेद्यता निम्नलिखित वैश्विक डेटाबेस में प्रकाशित की गई थी:

• NVD, राष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान (.gov)
• Vulners.com
• tenable.com
• Debricked, भेद्यता डेटाबेस
• Vulmon
• Feedly
• VulDB fr
• VulDB DE
• CVE.org, MITRE कॉर्पोरेशन
• SecurityVulnerability.io
• CVE MITRE
• Ubuntu Security
• LinkedIn
• GitHub: CVE-2025-26326

पूर्ण नेत्रहीन व्यक्ति द्वारा प्रकाशित पहली भेद्यता!

---

NVDA रिमोट एक्सेस भेद्यता रिपोर्ट

विवरण

NVDA Remote (संस्करण 2.6.4) और Tele NVDA Remote (संस्करण 2025.3.3) रिमोट कनेक्शन ऐड-ऑन में एक भेद्यता की पहचान की गई, जो किसी हमलावर को कमजोर पासवर्ड का अनुमान लगाकर रिमोट सिस्टम पर पूर्ण नियंत्रण प्राप्त करने की अनुमति देती है। समस्या इसलिए उत्पन्न होती है क्योंकि ये ऐड-ऑन उपयोगकर्ता द्वारा दर्ज किए गए किसी भी पासवर्ड को स्वीकार करते हैं और उनमें कोई अतिरिक्त प्रमाणीकरण या कंप्यूटर सत्यापन तंत्र नहीं होता है।

परीक्षणों से संकेत मिलता है कि 1,000 से अधिक सिस्टम आसानी से अनुमान लगाए जाने वाले पासवर्ड का उपयोग करते हैं, जिनमें से कई 4 से 6 अक्षरों से कम लंबे होते हैं, जिनमें सामान्य अनुक्रम भी शामिल हैं। यह दुर्भावनापूर्ण घुसपैठियों द्वारा ब्रूट-फोर्स हमलों या परीक्षण-और-त्रुटि प्रयासों की अनुमति देता है।

इस भेद्यता का शोषण कोई दूरस्थ हमलावर कर सकता है जो कनेक्शन में उपयोग किए गए पासवर्ड को जानता है या उसका अनुमान लगा सकता है। परिणामस्वरूप, हमलावर को प्रभावित सिस्टम तक पूर्ण पहुंच प्राप्त होती है और वह कमांड निष्पादित कर सकता है, फ़ाइलें संशोधित कर सकता है और उपयोगकर्ता की सुरक्षा से समझौता कर सकता है।

भेद्यता विवरण

• NVDA Remote (संस्करण 2.6.4) और Tele NVDA Remote (संस्करण 2025.3.3) रिमोट कनेक्शन ऐड-ऑन में एक भेद्यता की पहचान की गई, जो किसी हमलावर को कमजोर पासवर्ड का अनुमान लगाकर रिमोट सिस्टम पर पूर्ण नियंत्रण प्राप्त करने की अनुमति देती है।
• ये ऐड-ऑन उपयोगकर्ता द्वारा टाइप किए गए किसी भी पासवर्ड को स्वीकार करते हैं और अतिरिक्त प्रमाणीकरण तंत्र का अभाव रखते हैं।
• 1,000+ सिस्टम कमजोर पासवर्ड (4-6 अक्षर, सामान्य अनुक्रम) का उपयोग करते हैं।
• ब्रूट-फोर्स या परीक्षण-और-त्रुटि हमलों को सक्षम बनाता है।
• कोई दूरस्थ हमलावर जो पासवर्ड जानता है या उसका अनुमान लगाता है, वह निम्न कार्य कर सकता है:
  • सिस्टम तक पूर्ण पहुंच प्राप्त करना।
  • कमांड निष्पादित करना।
  • फ़ाइलें संशोधित करना।
  • उपयोगकर्ता की सुरक्षा से समझौता करना।

---

अतिरिक्त जानकारी

• नॉनविज़ुअल डेस्कटॉप एक्सेस (NVDA) माइक्रोसॉफ्ट विंडोज़ के लिए एक निःशुल्क, ओपन-सोर्स और पोर्टेबल स्क्रीन रीडर है।
• यह भेद्यता केवल NVDA Remote और Tele NVDA Remote ऐड-ऑन को प्रभावित करती है, NVDA को स्वयं नहीं।

---

भेद्यता प्रकार

• अनुचित अभिगम नियंत्रण

उत्पाद के विक्रेता

• NVDA Remote
• Tele NVDA Remote

प्रभावित उत्पाद कोड बेस

• NVDA Remote संस्करण 2.6.4
• Tele NVDA Remote संस्करण 2025.3.3

प्रभावित घटक

• NVDA Remote ऐड-ऑन
• Tele NVDA Remote ऐड-ऑन

आक्रमण प्रकार

• दूरस्थ

प्रभाव

• कोड निष्पादन: ✅ सत्य
• विशेषाधिकार वृद्धि: ✅ सत्य
• सूचना प्रकटीकरण: ✅ सत्य

---

आक्रमण वेक्टर

1. लक्षित मशीन पर NVDA स्थापित करें।
2. NVDA ऐड-ऑन स्टोर खोलें (Insert + N → Tools > Add-ons Store)।
3. "NVDA Remote" या "Tele NVDA Remote" ढूंढें और स्थापित करें।
4. Insert + N > Tools > Remote > Connect > Control another computer पर जाएं।
5. एक रिमोट पता दर्ज करें (जैसे, nvdaremote.com, telenvdaremote, या nvdaremote.es)।
6. एक आसानी से अनुमान लगाए जाने वाला पासवर्ड उपयोग करें (जैसे, "1234")।
7. लक्षित मशीन से कनेक्शन शुरू करने के लिए OK पर क्लिक करें।
8. कनेक्ट होने के बाद, लक्षित कंप्यूटर पर पूर्ण नियंत्रण प्राप्त करने के लिए F11 दबाएं।
9. नोट: आक्रमण के सफल होने के लिए लक्षित उपयोगकर्ता के पास "Control my computer" विकल्प सक्षम होना चाहिए।

---

NVDA Remote और Tele NVDA Remote के लिए सुरक्षा उपाय

ये रिमोट कनेक्शन ऐड-ऑन कई NVDA उपयोगकर्ताओं के लिए आवश्यक हैं, लेकिन सुरक्षा जोखिमों को नजरअंदाज नहीं किया जा सकता। उचित अभिगम नियंत्रण की कमी गंभीर भेद्यताएं पैदा करती है।

1. लक्षित उपयोगकर्ता प्राधिकरण

• प्रत्येक कनेक्शन अनुरोध के लिए स्पष्ट उपयोगकर्ता स्वीकृति आवश्यक होनी चाहिए।
• यदि उपयोगकर्ता अनुरोध अस्वीकार करता है, तो हमलावर का IP 15 मिनट के लिए अवरुद्ध किया जाना चाहिए।
• यदि उपयोगकर्ता 10 मिनट के भीतर जवाब नहीं देता है, तो अनुरोध स्वचालित रूप से रद्द किया जाना चाहिए।

2. समवर्ती कनेक्शनों की सीमा

• प्रति उपयोगकर्ता अधिकतम दो समवर्ती रिमोट सत्र।

3. मजबूत पासवर्ड नीति

• पासवर्ड 8-24 वर्ण लंबे होने चाहिए।
• इसमें अपरकेस, लोअरकेस, संख्याएं और विशेष वर्ण होने चाहिए।
• कई असफल प्रयासों के बाद खाता लॉकआउट।

4. अधिकतम सत्र समय

• प्रत्येक रिमोट सत्र 2 घंटे के बाद समाप्त हो जाता है, जब तक कि पुनः प्रमाणीकरण नहीं किया जाता।

---

संदर्भ

• NVDA Remote GitHub
• NVDA Remote वेबसाइट
• Tele NVDA GitHub
• Tele NVDA ऐड-ऑन स्टोर

---

खोजकर्ता

• Juan Mathews Rebello Santos
  • LinkedIn
  • GitHub