ज़ूम टेलीकांफ्रेंसिंग सॉफ़्टवेयर भेद्यता किसी भी वेबसाइट को वेब कैमरा के माध्यम से उपयोगकर्ताओं की जासूसी करने की अनुमति देती है

चित्र: मध्यम.कॉम

सिक्योरिटी रिसर्चर ने जूम टेलीकांफ्रेंसिंग सॉफ्टवेयर वल्नरेबिलिटी की खोज की मैक कंप्यूटर पर प्रोग्राम का उपयोग करते समय, उपयोगकर्ता द्वारा खोली गई कोई भी साइट इस कार्रवाई की अनुमति के बिना डिवाइस पर कैमरे को सक्रिय कर सकती है। ऐसा आप तब भी कर सकते हैं जब ज़ूम कंप्यूटर से पहले ही हटा दिया गया हो।

क्या समस्या है

शोधकर्ता जोनाथन लिइटशू ने महत्वपूर्ण भेद्यता CVE-2019-13450 का विवरण प्रकाशित किया है। एक अन्य सुरक्षा बग के साथ संयुक्त, यह हमलावरों को मैक उपयोगकर्ताओं पर दूरस्थ रूप से जासूसी करने की अनुमति दे सकता है।

लीच ने ज़ूम टीम को इसके बारे में सूचना के प्रकाशन से 90 दिन पहले भेद्यता के बारे में बताया, लेकिन शोधकर्ता के ब्लॉग पर प्रकाशन के बाद त्रुटि को कवर करने वाला एक पैच जारी किया गया। इस प्रकार, परियोजना के सभी 4 मिलियन उपयोगकर्ता जोखिम में हैं। जूम टेली और ऑडियो-कॉन्फ्रेंस, वेबिनार और प्रशिक्षण कार्यक्रमों के लिए सबसे लोकप्रिय क्लाउड एप्लिकेशनों में से एक है।

भेद्यता क्लिक-टू-जॉइन फ़ंक्शन के गलत संचालन में निहित है - यह कंप्यूटर पर स्थापित ज़ूम क्लाइंट को स्वचालित रूप से सक्रिय करने के लिए बनाया गया था। इसके साथ, प्रतिभागी तुरंत ब्राउज़र का उपयोग करके सम्मेलन से जुड़ सकते हैं। ऐसा करने के लिए, बस फॉर्म के जूम लिंक पर क्लिक करें। zoom/us/j/492468757

शोधकर्ता ने पाया कि इस फ़ंक्शन को सक्रिय करने के लिए, ज़ूम कंप्यूटर पर पोर्ट 19421 पर चलने वाला एक स्थानीय वेब सर्वर लॉन्च करता है, जो "असुरक्षित तरीके से" HTTPS GET मापदंडों के माध्यम से कमांड प्राप्त करता है और ब्राउज़र में खोली गई किसी भी वेबसाइट के साथ बातचीत कर सकता है।

एक सुरक्षा त्रुटि का फायदा उठाने के लिए, एक हमलावर को ज़ूम में एक निमंत्रण लिंक बनाने और इसे बाहरी साइट में छवि टैग के रूप में या iFrame के माध्यम से एम्बेड करने की आवश्यकता है। फिर आपको अपने मैक कंप्यूटर पर वेबकैम को सक्रिय करने में सक्षम होने के लिए पीड़ित को साइट पर जाने के लिए मनाने की आवश्यकता है।

शिकार पर जासूसी करने के अलावा, लक्ष्य कंप्यूटर पर DoS हमले करने के लिए भेद्यता का उपयोग किया जा सकता है। ऐसा करने के लिए, स्थानीय वेब सर्वर को बड़ी संख्या में GET अनुरोध भेजें।

खुद की सुरक्षा कैसे करें

ज़ूम के सरल हटाने से वर्णित समस्या से बचाने में मदद नहीं मिलती है। शोधकर्ता के अनुसार, क्लिक-टू-जॉइन फ़ंक्शन उपयोगकर्ता से अनुमति के बिना ज़ूम को स्वचालित रूप से पुनर्स्थापित करने के लिए एक कमांड का समर्थन करता है।

लीच के अनुसार, जूम विशेषज्ञों ने एक पैच जारी किया जो हमलावरों को पीड़ित के डिवाइस पर एक वीडियो कैमरा को सक्रिय करने से रोकता है। इसी समय, दुर्भावनापूर्ण ज़ूम लिंक का उपयोग करके उपयोगकर्ताओं को ऑनलाइन सम्मेलन से गुप्त रूप से जोड़ने की क्षमता अभी भी बनी हुई है।

आज, डेटा विश्लेषण एल्गोरिदम के आधार पर कई सेवाएं संचालित होती हैं। जैसा कि अभ्यास से पता चलता है, जोखिम न केवल कमजोर कार्यक्षमता में छिपे हुए हैं, बल्कि डेटा में भी हैं, जिसके आधार पर सिस्टम निर्णय लेता है।

नई मशीन लर्निंग एल्गोरिदम के आगमन के साथ, उनके आवेदन का दायरा विस्तृत हो गया है। अब कई वर्षों के लिए, सूचना सुरक्षा के क्षेत्र में मशीन सीखने का उपयोग न केवल हमलों का पता लगाने के लिए किया गया है, बल्कि उन्हें संचालित करने के लिए भी किया गया है।

शोधकर्ता दुर्भावनापूर्ण मशीन लर्निंग (प्रतिकूल हमला) का सक्रिय रूप से अध्ययन कर रहे हैं। हालांकि, हमलावरों से आगे निकलने और उनके अगले कदम की भविष्यवाणी करने के प्रयास में, वे उन अवसरों के बारे में भूल जाते हैं जो हमलावर अब उपयोग कर रहे हैं: मॉडल की चोरी, ढांचे में कमजोरियां, प्रशिक्षण डेटा को खराब करना, तार्किक कमजोरियां।

गुरुवार, 11 जुलाई को अपराह्न 2:00 बजे, पॉजिटिव टेक्नोलॉजीज के विशेषज्ञ आर्सेनी रुटोव और एलेक्जेंड्रा मुर्जिना "आर्टिफिशियल इंटेलिजेंस तकनीकों का उपयोग करने के सुरक्षा जोखिम" विषय पर एक वेबिनार आयोजित करेंगे। हम आधुनिक अनुप्रयोगों में मशीन सीखने की तकनीक का उपयोग करने के जोखिमों के बारे में बात करेंगे।

वेबिनार में भागीदारी नि: शुल्क है, पंजीकरण आवश्यक है।