सुरक्षा सप्ताह 51: बग में वर्डप्रेस 5.0 और लॉजिटेक सॉफ्टवेयर, फेसबुक फोटो भेद्यता

वर्डप्रेस 5.0 की बड़ी रिलीज के ठीक एक हफ्ते बाद, दुनिया के सबसे लोकप्रिय सीएमएस के डेवलपर्स ने कई गंभीर कमजोरियों ( समाचारों ) को कवर करते हुए एक पैच जारी किया। सात अंतराल को बंद कर दिया गया था, कुछ वर्डप्रेस कॉन्फ़िगरेशन में सबसे गंभीर यह खोज इंजन के लिए एक नए उपयोगकर्ता के सक्रियण पृष्ठ को अनुक्रमित करना संभव बनाता है। पृष्ठ URL में एक सक्रियण कुंजी होती है, जिसके कारण उपयोगकर्ताओं के ईमेल पते लीक करना संभव हो जाता है, और कुछ मामलों में पासवर्ड स्वतः उत्पन्न भी हो जाते हैं।

पहचानकर्ता को URL से कुकी में स्थानांतरित करके समस्या का समाधान किया गया था। भेद्यता भी संस्करण 4.x को प्रभावित करती है - उन लोगों के लिए जो किसी कारण से वर्डप्रेस 5.0 में अपग्रेड करने के लिए तैयार नहीं हैं, संस्करण 4.9.9 जारी किया गया है। XSS वर्ग की तीन अन्य कमजोरियां सैद्धांतिक रूप से पहले से ही पंजीकृत वर्डप्रेस उपयोगकर्ताओं को प्रशासकों की टिप्पणियों को संपादित करके, एक मामले में - विशेषाधिकार बढ़ाने की अनुमति देती हैं। PHP में एक भेद्यता को भी बंद कर दिया गया था, जिससे आप एक फ़ाइल को डाउनलोड करते समय एक मनमाना बचत पथ निर्दिष्ट कर सकते हैं। शोधकर्ता सैम थॉमस ने ब्लैकहैट सम्मेलन ( पीडीएफ ) में उनके बारे में अधिक बात की। Wordfence ब्लॉग पर सभी बंद कमजोरियों के बारे में थोड़ी अधिक जानकारी पाई जा सकती है।

फेसबुक ने फिर लीक किया डेटा या उन्होंने लीक नहीं किया: पिछले हफ्ते कंपनी ने एपीआई में एक बग के बारे में (एफबी ब्लॉग पर समाचार पोस्ट ) बताया जिसमें उपयोगकर्ता तस्वीरों का उपयोग करने के लिए तीसरे पक्ष के अनुप्रयोगों की अनुमति दी गई थी। यह त्रुटि 13 से 25 सितंबर तक चली थी। इस समय, तृतीय-पक्ष एप्लिकेशन, जो उपयोगकर्ता पहले से ही फ़ेसबुक पर फ़ोटो का उपयोग कर रहे थे, सामान्य रूप से खाते की सभी तस्वीरों का उपयोग कर सकते थे। सामान्य परिस्थितियों में, केवल उन तस्वीरों तक पहुंच दी जाती है जो उपयोगकर्ता अपने क्रॉनिकल में प्रकाशित करता है। लगभग दो हफ्तों के लिए, एपीआई कहानियों से तस्वीरों के लिए खुला था, पिस्सू बाजार से तस्वीरें और बहुत कुछ। सबसे दुखद बात यह है कि निजी तस्वीरों तक पहुंच थी, यहां तक ​​कि उपयोगकर्ता जो कभी भी कहीं भी प्रकाशित नहीं हुए, लेकिन सोशल नेटवर्क पर अपलोड किए गए।

वितरण ने 6.8 मिलियन उपयोगकर्ताओं को मारा। सोशल नेटवर्क द्वारा एकत्र किए गए डेटा की गोपनीयता के बारे में अच्छी तरह से ज्ञात चर्चा के बाद, एक और सुरक्षा छेद के बारे में हर खबर बहुत ध्यान आकर्षित करती है। हालांकि इस मामले में, कुछ भी भयानक नहीं हुआ: उन्होंने एक बग बनाया, इसे पाया, इसे ठीक किया। पृष्ठ को किसी अन्य उपयोगकर्ता के रूप में देखने के कार्य के साथ पिछली समस्या अधिक गंभीर थी। हमेशा की तरह, फेसबुक अपनी कमजोरियों के साथ अकेला नहीं है: Google+ पर एक और समस्या की खोज के बाद, उन्होंने नियोजित की तुलना में इस दुर्भाग्यपूर्ण सामाजिक नेटवर्क को बंद करने का फैसला किया ।

Google प्रोजेक्ट ज़ीरो टीम के शोधकर्ता टैविस ओरमंडी ने लॉजिटेक कीबोर्ड उपयोगिता में बग के विवरण ( समाचार , एक विस्तृत रिपोर्ट ) प्रकाशित किया है। Logitech विकल्प उपयोगिता में एक भेद्यता सितंबर में पता चला था, जिसके बाद निर्माता ने समस्या को लंबे समय तक ठीक किया। लेकिन समस्या दिलचस्प है। सामान्य तौर पर, यह उपयोगिता आपको उपयोगकर्ता के अनुरोध पर कीबोर्ड पर बटन पुन: असाइन करने की अनुमति देती है, और वहां एक हमला वेक्टर खोजने के लिए यह अप्रत्याशित था। फिर भी, यह मौजूद है: एप्लिकेशन एक विशिष्ट टीसीपी पोर्ट पर कमांडों के लिए सुनता है और यह बिल्कुल भी जांच नहीं करता है कि वे कहां से आए थे।

इस प्रकार, तैयार वेब पेज का उपयोग करके उपयोगिता को दूरस्थ रूप से नियंत्रित करना संभव हो जाता है। एक समान समस्या (हालांकि संचालित करने के लिए थोड़ा सरल) एक बार बड़े पैमाने पर राउटर्स द्वारा देखा गया था: वे ब्राउज़र में पेज खोलने वाले उपयोगकर्ता के ज्ञान के बिना दूरस्थ रूप से प्रशासित हो सकते हैं। एक खुले नेटवर्क इंटरफ़ेस के माध्यम से, आप प्रोग्राम सेटिंग्स को बदल सकते हैं, साथ ही कीबोर्ड की ओर से पात्रों के मनमाने दृश्यों को प्रसारित कर सकते हैं, जिसका उपयोग सैद्धांतिक रूप से सिस्टम पर नियंत्रण हासिल करने के लिए किया जा सकता है।

सिस्टम बूट होने पर उपयोगिता डिफ़ॉल्ट रूप से शुरू होती है, जिससे समस्या और भी गंभीर हो जाती है। शोधकर्ता ने 11 दिसंबर की समय सीमा के बाद सूचना प्रकाशित की। उसके बाद दो, लॉजिटेक ने कार्यक्रम का एक अद्यतन संस्करण जारी किया जो भेद्यता को बंद करने के लिए लगता है। हालांकि, हर कोई इस कथन से सहमत नहीं है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।