सुरक्षा सप्ताह 31: वीएलसी भेद्यता और टूटा हुआ फोन

पिछले हफ्ते ( समाचार ), लोकप्रिय वीएलसी मीडिया प्लेयर में एक गंभीर भेद्यता पर व्यापक रूप से चर्चा की गई थी। समस्या की जानकारी जर्मन सीईआरटी बंड और यूएस नेशनल वल्नेरेबिलिटी डेटाबेस की रजिस्ट्री में जोड़ी गई थी। प्रारंभ में, CVE-2019-13615 भेद्यता को 9.8 की रेटिंग प्राप्त हुई, अर्थात, इसे सबसे खतरनाक के रूप में वर्गीकृत किया गया था।

समस्या एक वीडियो खेलते समय हो सकने वाले ढेर में बफर की सीमाओं से परे एक पढ़ने की त्रुटि के कारण है। यदि अधिक मानवीय शब्दों में समझाया गया है, तो आप मध्यस्थता कोड के निष्पादन के माध्यम से तैयार .mkv फ़ाइल को पीड़ित को भेज सकते हैं और सिस्टम पर नियंत्रण प्राप्त कर सकते हैं। यह समाचार सॉफ़्टवेयर में समस्याओं के बारे में बात करने का एक अच्छा कारण है, जो, ऐसा लगता है कि आपके कंप्यूटर के लिए गंभीर जोखिम पैदा नहीं करता है। लेकिन इस बार नहीं: जाहिर है, भेद्यता की रिपोर्ट करने वाले शोधकर्ता ने एक गलती की और वीएलसी के नवीनतम संस्करण को एक समस्या के लिए जिम्मेदार ठहराया जो विशेष रूप से उनके लिनक्स वितरण में मौजूद था। इसलिए, आज की पोस्ट गलतफहमी और सनसनीखेज सुर्खियों में समर्पित है।

यह सब पांच हफ्ते पहले VLC बग ट्रैकर में इस टिकट के साथ शुरू हुआ था। उपयोगकर्ता के शीर्ष (zhangwy) ने बिना अधिक विवरण के .mp4 फ़ाइल अपलोड की, जिससे खिलाड़ी दुर्घटनाग्रस्त हो गया। वहां, यह संदेश कुछ समय के लिए अप्रयुक्त रखा गया, जबकि किसी तरह भेद्यता के बारे में जानकारी (कोई नहीं जानता कि कैसे) एनआईएसटी एनवीडी और सीईआरटी बंड डेटाबेस में मिला। उसके बाद, डेवलपर्स ने बग रिपोर्ट को देखा - और मीडिया प्लेयर के नवीनतम संस्करण पर हमले को पुन: पेश नहीं कर सका।


इस बीच, मीडिया ने सीईआरटी बंड के संदर्भ में भेद्यता के बारे में लिखा, और वहां कोई भी सुर्खियों में नहीं था । अब VLC निकालें! एक भयानक भेद्यता जिसके लिए कोई पैच नहीं है! सब कुछ बहुत बुरा है ! सामान्य तौर पर, सॉफ्टवेयर में कमजोरियों की रजिस्ट्री बनाए रखने वाले बड़े संगठनों पर आमतौर पर भरोसा किया जाता है। लेकिन इस मामले में, एक समस्या का पता लगाने और इसके लिए एक समाधान खोजने की सामान्य प्रक्रिया बाधित हो गई थी।


क्या वास्तव में गलत हुआ, वीडियोलान डेवलपर्स ने आधिकारिक खाते में ट्वीट्स की एक श्रृंखला में कहा (हम अनुशंसा करते हैं कि आप पूरे धागे को पढ़ें, डेवलपर्स बहुत नाराज थे और अभिव्यक्ति में खुद को शर्मिंदा नहीं किया)। शुरुआत करने के लिए, वीएलसी तत्काल शोधकर्ताओं से सार्वजनिक ट्रैकर की कमजोरियों की रिपोर्ट नहीं करने के लिए कहता है । स्पष्ट कारणों के लिए: यदि वास्तव में गंभीर समस्या का पता चला है, तो डेवलपर्स के पास इसे ठीक करने का समय होना चाहिए। शुरुआती टॉप यूजर बग रिपोर्ट ट्रैकर के सार्वजनिक हिस्से में पहुंच गई।


दूसरे, जब वे उसके साथ विवरण स्पष्ट करने की कोशिश करते थे तो बग्रेपोर्ट के सर्जक से संपर्क नहीं हो पाता था। तीसरा, एनआईएसटी एनवीडी बेस मेंटेनर्स ने भेद्यता की जानकारी जोड़ी और वीएलसी डेवलपर्स से परामर्श के बिना निकट-अधिकतम खतरे की रेटिंग दी। सीईआरटी बंड ने वही किया, जिसके बाद मीडिया ने इस विषय को उठाया।

क्या कोई भेद्यता थी? यह था! Libebml लाइब्रेरी में, जो ओपन सोर्स प्रोजेक्ट Matroska.org का हिस्सा है । वीएलसी एमकेवी फ़ाइलों को पार्स करते समय इस लाइब्रेरी का उपयोग करता है, लेकिन अप्रैल 2018 में शोषण में इस्तेमाल की गई कमजोरियों को 1.3.6 संस्करण में बंद कर दिया गया। संस्करण 3.0.3 के साथ शुरू, वीएलसी खुद एक अद्यतन पुस्तकालय का उपयोग करता है। इसने अपेक्षाकृत पुराने और जाहिरा तौर पर अद्यतन नहीं किए गए उबंटू प्रणाली के बहुत पुराने संयोजन को पुराने लिंबाबेल लाइब्रेरी और हमले को लागू करने के लिए नए खिलाड़ी के साथ लिया। यह स्पष्ट है कि आम उपयोगकर्ताओं के लिए इस तरह के कॉन्फ़िगरेशन की संभावना नहीं है, और वीएलसी का इससे वैसे भी कोई लेना-देना नहीं है - एक साल से अधिक समय से।


मूल Bugreport के लेखक का अंतिम संदेश इस तरह दिखता है: "आपको खेद है, यदि है।" लेकिन समान गुणों वाली वास्तविक भेद्यता पाचन के प्रकाशन के समय वास्तविक संस्करण VLC 3.0.7 में बंद थी। यह वीएलसी द्वारा उपयोग की जाने वाली खुली लाइब्रेरी में भी निहित था, और तैयार फ़ाइल को खोलने पर मनमाने कोड के निष्पादन के लिए प्रेरित किया गया था। लोकप्रिय स्रोत (और सरकारी एजेंसियों द्वारा उपयोग की जाने वाली) ओपन सोर्स परियोजनाओं में कमजोरियों को पुरस्कृत करने के लिए यूरोपीय संघ की पहल की बदौलत इसकी खोज की गई। वीएलसी के अलावा, नोटपैड ++, पुट्टी और फाइलजिला सॉफ्टवेयर की सूची में शामिल थे।

सामान्य तौर पर, सुरक्षा एक परिणाम की तुलना में एक प्रक्रिया के बारे में अधिक है। इस प्रक्रिया की गुणवत्ता मीडिया में उच्च प्रोफ़ाइल सुर्खियों से नहीं, बल्कि आपके व्यक्तिगत कंप्यूटर के मामले में कम से कम नियमित सॉफ़्टवेयर अपडेट द्वारा निर्धारित की जाती है। समस्याएं कहीं भी हो सकती हैं, और यह तथ्य कि वीएलसी भेद्यता नकली थी, लगातार कार्यक्रमों को अपडेट करने की आवश्यकता को समाप्त नहीं करती है। यहां तक ​​कि जो लोग इस तरह से काम करते हैं और उन्हें उतना खतरनाक नहीं माना जाता है। इनमें शामिल हैं, उदाहरण के लिए, विनरार अभिलेखागार, जिसमें कुछ महीने पहले एक बहुत ही प्राचीन महत्वपूर्ण भेद्यता पाई गई थी। VLC अद्यतन अनुस्मारक अक्षम करना भी इसके लायक नहीं है, हालांकि कई करते हैं। इस वर्ष के जनवरी में एक अपेक्षाकृत हालिया अवास्ट अध्ययन से पता चला है कि केवल 6% उपयोगकर्ताओं के पास उस समय स्थापित VLC का वर्तमान संस्करण था।


VLC डेवलपर्स, सिद्धांत रूप में, अभ्यास को पसंद नहीं करते हैं जब मनमाने कोड के निष्पादन के साथ किसी भी भेद्यता को अधिकतम खतरे की रेटिंग सौंपी जाती है। ज्यादातर मामलों में, इस तरह के छेद का वास्तविक संचालन मुश्किल है: पीड़ित के लिए आवश्यक फ़ाइल (या स्ट्रीमिंग वीडियो के लिए एक लिंक) भेजना आवश्यक है, और इसे खोलने के लिए मजबूर करें, और न केवल कार्यक्रम के दुर्घटनाग्रस्त होने का कारण बनता है, बल्कि कोड का निष्पादन, और यहां तक ​​कि आवश्यक विशेषाधिकारों के साथ, जो कि तथ्य नहीं हैं। प्राप्त कर सकते हैं। यह लक्षित हमले का एक दिलचस्प सैद्धांतिक संस्करण है, लेकिन अभी तक संभावना नहीं है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय कैस्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।