सुरक्षा सप्ताह 29: ज़ूम, सुरक्षा, और नाटकीयता

पिछले हफ्ते, शोधकर्ता जोनाथन लेयट्सच ने मैकओएस के लिए ज़ूम वेब कॉन्फ्रेंसिंग क्लाइंट कमजोरियों के बारे में एक बहुत ही भावुक पोस्ट प्रकाशित किया। इस मामले में, यह पूरी तरह से स्पष्ट नहीं है कि भेद्यता एक अनजाने बग या पूर्व नियोजित सुविधा थी। आइए इसका पता लगाने की कोशिश करें, लेकिन संक्षेप में, यह इस तरह से निकलता है: यदि आपके पास जूम क्लाइंट स्थापित है, तो एक हमलावर आपको बिना मांग के अपने समाचार समूह से जोड़ सकता है, इसके अलावा, वह अतिरिक्त अनुमति मांगे बिना एक वेबकैम को सक्रिय कर सकता है।

वह क्षण जब किसी पैच किए गए संस्करण को खोजने के बजाय, कोई व्यक्ति क्लाइंट को सिस्टम से हटाने का निर्णय लेता है। लेकिन इस मामले में यह मदद नहीं करेगा: क्लाइंट के साथ एक वेब सर्वर स्थापित है, जो अनइंस्टॉल करने के बाद भी काम करता है - यह क्लाइंट सॉफ्टवेयर को उसकी जगह पर "वापस" करने में भी सक्षम है। इस प्रकार, यहां तक ​​कि जो लोग एक बार जूम सेवाओं का उपयोग करते थे, लेकिन फिर बंद हो गए, वे खतरे में थे। Apple उनकी सहायता के लिए आया, बिना ज्यादा धूमधाम के, जिसने ओएस के लिए एक अपडेट के साथ वेब सर्वर को हटा दिया। यह कहानी एक वास्तविक infosec नाटक है जिसमें उपयोगकर्ता केवल यह देख सकते हैं कि विभिन्न सॉफ़्टवेयर कैसे दिखाई देते हैं और उनके कंप्यूटर पर गायब हो जाते हैं।


जूम क्लाइंट के काम करने के तरीकों का अध्ययन स्थानीय वेब सर्वर के अध्ययन के साथ शुरू हुआ: समाचार समूह से जुड़ने के लिए एक लिंक खोलते समय सेवा वेबसाइट इसे एक्सेस करने की कोशिश करती है। एक अपेक्षाकृत सुरुचिपूर्ण विधि का उपयोग स्थानीय सर्वर की स्थिति को क्वेरी करने के लिए किया गया था - एक निश्चित प्रारूप की एक छवि को प्रेषित करके।



यह क्रॉस-ऑरिजिनल रिसोर्स शेयरिंग के नियमों का पालन करते हुए ब्राउज़र की सीमाओं को दरकिनार करने के लिए किया जाता है। आप ज़ूम वेब सर्वर पर एक सम्मेलन कनेक्शन अनुरोध भी भेज सकते हैं। यह प्रश्न कुछ इस प्रकार है:


आप एक सम्मेलन बना सकते हैं, एक वेब पेज पर एक समान अनुरोध रख सकते हैं, पीड़ित को एक लिंक भेज सकते हैं, और कंप्यूटर पर स्थापित क्लाइंट स्वचालित रूप से उपयोगकर्ता को कनेक्ट करेगा। इसके अलावा यह स्वयं वेब सम्मेलन के मापदंडों को देखने लायक है:


आपके पास उपयोगकर्ता के वेबकैम को चालू करने के लिए मजबूर करने का विकल्प है। यही है, आप एक अनसुने व्यक्ति को एक सम्मेलन कॉल में फुसला सकते हैं और तुरंत कैमरे से एक छवि प्राप्त कर सकते हैं (लेकिन पीड़ित को माइक्रोफोन से ध्वनि को मैन्युअल रूप से चालू करने की आवश्यकता होगी)। जूम क्लाइंट में, कैमरे के स्वचालित समावेश को अवरुद्ध किया जा सकता है, लेकिन डिफ़ॉल्ट सेटिंग्स के साथ, कैमरा तुरंत चालू हो जाता है। वैसे, यदि आप लगातार सम्मेलन से जुड़ने के लिए अनुरोध भेजते हैं, तो ज़ूम एप्लिकेशन लगातार अपने आप पर ध्यान केंद्रित करेगा, उपयोगकर्ता को किसी भी तरह इस कार्रवाई को रद्द करने से रोक देगा। यह एक क्लासिक डेनियल ऑफ सर्विस हमला है।


अंत में, शोधकर्ता ने कंप्यूटर पर एक वेब सर्वर चल रहा है, तो ज़ूम क्लाइंट को अपग्रेड करने या पुनर्स्थापित करने की क्षमता की पुष्टि की। वेंडर की प्रतिक्रिया शुरू में आदर्श से बहुत दूर थी। ज़ूम के डेवलपर्स ने उपयोगकर्ताओं को बिना मांग के कनेक्ट करने की संभावना को बाहर करने के लिए वेब सर्वर के तर्क में "पैच" के लिए कई विकल्प प्रस्तावित किए। उन सभी ने आसानी से एक संभावित हमलावर के जीवन को थोड़ा घेर लिया या जटिल कर दिया। अंतिम समाधान स्थानीय सर्वर में पारित एक और पैरामीटर जोड़ना था। जैसा कि शोधकर्ता को पता चला है, यह समस्या को हल नहीं करता है। एकमात्र चीज़ जो ठीक से मरम्मत की गई थी, वह भेद्यता थी जिसने DoS हमले की अनुमति दी थी। और सम्मेलन के आयोजक के अनुरोध पर जोनाथन के एक वेब कैमरा को हटाने के प्रस्ताव पर, जवाब पूरी तरह से दिया गया था कि यह एक विशेषता है, "यह ग्राहकों के लिए अधिक सुविधाजनक है"।

पहली बार एक शोधकर्ता ने 8 मार्च को जूम डेवलपर्स के साथ संपर्क करने की कोशिश की। 8 जुलाई को, सामर्थ्य समाप्त करने के लिए आम तौर पर तीन महीने की समय सीमा को स्वीकार कर लिया गया था, और जोनाथन ने एक अनसुलझी समस्या के बारे में एक पोस्ट प्रकाशित की। लेख के प्रकाशन के बाद ही ज़ूम ने अधिक कट्टरपंथी उपाय किए: 9 जुलाई को, एक पैच जारी किया गया था जो मैकओएस पर चलने वाले कंप्यूटर से वेब सर्वर को पूरी तरह से हटा देता है।

प्रिय संपादक नियमित रूप से वीडियोकांफ्रेंसिंग के माध्यम से संवाद करते हैं और व्यक्तिगत अनुभव से कह सकते हैं: हर कोई ऐसा करता है। इस अर्थ में नहीं कि हर कोई क्लाइंट के साथ एक स्थानीय वेब सर्वर स्थापित करता है और फिर उसे हटाना भूल जाता है। सभी या लगभग सभी कॉन्फ्रेंसिंग सेवाओं को सिस्टम पर एक ब्राउज़र पेज की तुलना में अधिक विशेषाधिकारों की आवश्यकता होती है। इसलिए, स्थानीय एप्लिकेशन, ब्राउज़र एक्सटेंशन और अन्य टूल का उपयोग किया जाता है, ताकि संचार प्रक्रिया के दौरान माइक्रोफोन और कैमरा काम करें, आप फ़ाइलों और अपने डेस्कटॉप की छवि साझा कर सकते हैं। स्पष्ट रूप से, ज़ूम की "भेद्यता" (या बल्कि, तर्क में एक जानबूझकर गलती) ऐसी सेवाओं के साथ हुई सबसे खराब चीज नहीं है।

2017 में, एक और कॉन्फ्रेंसिंग सेवा के ब्राउज़र एक्सटेंशन में एक समस्या का पता चला था - सिस्को वीबेक्स। उस मामले में, भेद्यता ने सिस्टम पर मनमाने कोड को निष्पादित करने की अनुमति दी। 2016 में, ट्रेंड माइक्रो पासवर्ड मैनेजर को स्थानीय वेब सर्वर में भी एक समस्या मिली, जिसने मनमाने कोड निष्पादन की संभावना भी खोली। पिछले साल के अंत में, हमने लॉजिटेक कीबोर्ड और माउस उपयोगिता में एक छेद के बारे में लिखा था : यहां तक ​​कि हमने एक स्थानीय वेब सर्वर का उपयोग किया था, जिसकी पहुंच कहीं से भी संभव थी।

निष्कर्ष: यह एक काफी सामान्य अभ्यास है, हालांकि सुरक्षा के दृष्टिकोण से यह स्पष्ट रूप से सबसे अच्छा नहीं है - ऐसे वेब सर्वर के साथ बहुत अधिक संभावित छेद हैं। विशेष रूप से अगर यह बाहरी संसाधनों के साथ बातचीत करने के लिए डिफ़ॉल्ट रूप से बनाया जाता है (उदाहरण के लिए, एक साइट जो एक वेब सम्मेलन शुरू करता है)। खासकर यदि इसे हटाया नहीं जा सकता है। स्थापना रद्द करने के बाद ज़ूम क्लाइंट को जल्दी से बहाल करने की क्षमता स्पष्ट रूप से उपयोगकर्ताओं की सुविधा के लिए, या डेवलपर की सुविधा के लिए बनाई गई थी। हालांकि, अध्ययन के प्रकाशन के बाद, इसने अतिरिक्त समस्याएं ला दीं। ठीक है, सक्रिय ज़ूम उपयोगकर्ताओं को एक अद्यतन मिला और समस्या का समाधान हो गया। और उन लोगों के साथ क्या करना है जो एक बार जूम क्लाइंट का उपयोग करते हैं, फिर बंद हो जाते हैं, लेकिन स्थानीय वेब सर्वर अभी भी उनके लिए काम करता है? जैसा कि यह निकला, Apple ने चुपचाप एक अपडेट जारी किया जो इस मामले में भी वेब सर्वर को हटा देता है।

हमें जूम सेवा के डेवलपर को श्रद्धांजलि अर्पित करनी चाहिए: बाद में, इसलिए बोलने के लिए, जनता से एक नकारात्मक प्रतिक्रिया, उन्होंने समस्या को हल किया और अब नियमित रूप से उपयोगकर्ताओं के साथ अपडेट साझा करते हैं। यह स्पष्ट रूप से एक सफलता की कहानी नहीं है: यहां, डेवलपर ने विनम्रतापूर्वक शोधकर्ता के वास्तविक सुझावों को अनदेखा करने की भी कोशिश की, और शोधकर्ता ने कहा कि वह काफी "अत्याचारी" नहीं है। लेकिन अंत में यह सब ठीक हो गया।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।