सुरक्षा सप्ताह 47: निर्विवाद रूप से कमजोरियाँ

पिछले साल हमने पहले ही गैर-तुच्छ हमलों के बारे में पचा लिया था। तब हम हार्ड ड्राइव पर ध्वनिक प्रभाव और सीएसएस शैलियों के माध्यम से एक हैक के माध्यम से उपयोगकर्ता डेटा की चोरी के माध्यम से एक पीसी पर DoS हमले के बारे में बात कर रहे थे। और पिछले हफ्ते, उन स्थानों पर कमजोरियों के बारे में सिर्फ दो अध्ययन प्रकाशित किए गए थे जहां कोई भी वास्तव में उनसे उम्मीद नहीं करता है। सच है, इस बार की खबर अधिक नियमित है: किसी ने भी विनचेस्टर में अभी तक अधिक गुनगुनाए जाने की कोशिश नहीं की है। लेकिन फिर भी।

आइए मैक ओएस एक्स ऑपरेटिंग सिस्टम में अपेक्षाकृत सरल भेद्यता के साथ शुरू करें जिसे बॉब जेंडरलर ने खोजा ( समाचार , अनुसंधान )। पारंपरिक एप्पल पीसी पर सिरी की आवाज सहायक कैसे काम करती है, इसका अध्ययन करते हुए, बॉब ने सिस्टम फ़ाइलों में अपने स्वयं के ई-मेल संदेशों का एक डेटाबेस पाया।


Snippets.db फ़ाइल में एक अलग डेटाबेस का उपयोग com.apple.suggestd प्रक्रिया द्वारा किया जाता है। वह यह सुनिश्चित करने के लिए ज़िम्मेदार है कि न केवल फ़ाइलें और कार्यक्रम स्थानीय खोज परिणामों (पारंपरिक या "सिरी, वरिष्ठों के संदेश दिखाएं") पर दिखाई देते हैं, बल्कि मेल संदेश भी हैं जो सार्थक हैं। वास्तव में, Apple मेल प्रोग्राम से मेल डेटाबेस का हिस्सा वहां डुप्लिकेट है। और यह काफी सामान्य है, एक बिंदु के अपवाद के साथ: बॉब पत्राचार को एन्क्रिप्ट करता है, और स्निपेट में। इन समान संदेशों को सादे पाठ में संग्रहीत किया जाता है।

समस्या मैक ओएस एक्स 10.12 सिएरा से कम से कम मौजूद है और नवीनतम संस्करण 10.15 कैटालिना में मौजूद है। शोधकर्ता के अनुसार, वह अब छह महीने से एप्पल के साथ इसके बारे में बात कर रहे हैं, लेकिन भेद्यता अभी भी बंद नहीं हुई है। सिरी को अक्षम करने से मेल संदेश डेटाबेस की पुनःपूर्ति प्रभावित नहीं होती है, लेकिन आप वॉयस असिस्टेंट की सेटिंग्स में पत्राचार के बारे में जानकारी का संग्रह बंद कर सकते हैं। बॉब स्क्रीनशॉट दिखाते हैं कि कैसे एक निजी कुंजी को हटाने से मेल क्लाइंट में अपठनीय द्वारा संदेशों को एन्क्रिप्ट किया जाता है, लेकिन तकनीकी डेटाबेस में पाठ प्रतियां रहती हैं। इस तरह की बग "सुविधाजनक" और "सुरक्षित" के बीच चयन करने का एक क्लासिक मामला है। अधिकांश उपयोगकर्ताओं के लिए, यह व्यवहार कोई समस्या नहीं है। लेकिन अगर आप पागल हैं, तो आप अपने कंप्यूटर और डेटा तक पहुंच प्राप्त करने के बाद भी एक हमलावर के जीवन को जटिल बनाना चाहते हैं, तो आपको संकेत से इनकार करना होगा।


दो अमेरिकी विश्वविद्यालयों के शोधकर्ताओं ने स्मार्टफोन के रेडियो मॉड्यूल के साथ बातचीत के तरीकों में एंड्रॉइड फोन ( समाचार , अनुसंधान ) में कमजोरियों का एक पूरा गोदाम पाया है। एक रेडियो मॉड्यूल एक राज्य में ऐसी स्थिति है, जिसके ऑपरेटिंग सिस्टम और एंड्रॉइड के साथ संचार के लिए परिष्कृत उपकरण है। वैज्ञानिक कार्य की शुरुआत ओएस और मॉड्यूल के बीच बातचीत के दो गैर-तुच्छ तरीकों द्वारा रखी गई थी। एक सामान्य स्थिति में, केवल विशेषाधिकार प्राप्त एप्लिकेशन उसके साथ संवाद करते हैं, हालांकि एंड्रॉइड के पुराने संस्करणों में, कोई भी प्रोग्राम कमांड भेज सकता है। समय के साथ, टेलीफोन भाग की सुरक्षा में सुधार हुआ, लेकिन डिवाइस और निर्माता के मॉडल के आधार पर दो "बैक डोर" उपलब्ध थे। ये ब्लूटूथ और यूएसबी हैं: पहले मामले में, रेडियो मॉड्यूल के लिए एटी-कमांड को एक वायरलेस हेडसेट द्वारा भेजा जा सकता है, दूसरे में - कंप्यूटर से (हमेशा नहीं) संभावना के रूप में टेलीफोन भाग के साथ काम करने की संभावना है क्योंकि एक शास्त्रीय मॉडेम के साथ खोला गया है।

अध्ययन के लेखकों ने न केवल प्रसिद्ध एटी-कमांड सेट को हल किया, बल्कि एक फ़्यूज़र भी लिखा, जो एक जटिल एल्गोरिथ्म के अनुसार, रेडियो मॉड्यूल में गुणात्मक बकवास भेजता है। नतीजतन, संभावित हमले के तरीकों की एक विस्तृत वर्गीकरण सामने आई: फोन के प्रत्यक्ष नियंत्रण (एक भुगतान किए गए नंबर पर कॉल करें, नवीनतम कॉल देखें) से आईएमईआई की चोरी और स्मार्टफोन को आंशिक रूप से या पूरी तरह से निलंबित करने के विभिन्न तरीके। फोन तक भौतिक पहुंच की आवश्यकता से समस्या का दायरा कुछ हद तक सीमित है: दुर्भावनापूर्ण ब्लूटूथ हेडसेट का आविष्कार करना और इसे पीड़ित के डिवाइस से कनेक्ट करना आवश्यक है, या कम से कम एक केबल का उपयोग करके कनेक्ट करना आवश्यक है। अध्ययन में, Google Pixel 2, Nexus 6P, Samsung S8 + और कुछ अन्य का उपयोग किया गया। S8 + के मामले में, कॉल को सुनना और पुनर्निर्देशन स्थापित करना संभव था, जो काफी गंभीर है ... अगर यह हमला वेक्टर वास्तविक जीवन में अधिक लागू होने के लिए पूरा किया जा सकता है।

और क्या हुआ?

Kaspersky Lab ने लोकप्रिय VNC ग्राहकों की जाँच की । औद्योगिक नियंत्रण प्रणालियों का उपयोग करने के लिए वीएनसी का उपयोग करने के संदर्भ में कमजोरियों की समीक्षा (कोड उदाहरण के साथ नए और ज्ञात दोनों) की गई थी। निष्कर्ष: कई कमजोरियां हैं, इंटरनेट पर ऐसी पहुंच के साथ सीधे चमकना स्पष्ट रूप से सबसे अच्छा विचार नहीं है।

एवी-टेस्ट से वीडियो निगरानी के साथ पांच दरवाजे की घंटी का अध्ययन । परिणाम "पर्याप्त रूप से संरक्षित" (अमेज़ॅन रिंग) से लेकर "खराब संरक्षित" (डोरबर्ड) तक हैं। कमजोरियों के उदाहरण: प्राधिकरण के बिना स्थानीय नेटवर्क से पहुंच, एन्क्रिप्शन के बिना इंटरनेट पर वीडियो प्रसारण, क्लाउड सिस्टम में कमजोर प्राधिकरण।

कमजोरियों और पैच: Magento के ऑनलाइन स्टोर के लिए CMS में एक बहुत ही गंभीर छेद - प्राधिकरण के बिना स्क्रिप्ट स्थापित करना। इंटरनेट एक्सप्लोरर में शून्य-दिन । इलस्ट्रेटर और मीडिया एनकोडर में महत्वपूर्ण कमजोरियों को कवर करने वाले एडोब क्रिएटिव क्लाउड एप्लिकेशन सूट के अपडेट ।


फाइनेंशियल टाइम्स "ब्रेक्सिट जानकारी के लिए ब्रिटिश होम ऑफिस एप्लिकेशन में गंभीर कमजोरियों के बारे में लिखता है ।" ट्विटर पर प्रतिक्रिया को देखते हुए, कमजोरियां वास्तव में तुच्छ हैं। नॉर्वेजियन एप्लिकेशन शोधकर्ताओं की मुख्य शिकायत यह है कि पीड़ित के फोन को हैक करके या चोरी करके, आप पासपोर्ट फोटो सहित एप्लिकेशन में संग्रहीत डेटा तक पहुंच सकते हैं।